收集 Fortinet FortiEDR 記錄

剖析器版本：8.0

本文說明如何使用 Google Cloud Storage V2 或 Bindplane 代理程式，將 Fortinet FortiEDR 記錄檔擷取至 Google Security Operations。

Fortinet FortiEDR 是一種端點偵測與回應解決方案，可為整個機構的端點提供即時防護、自動事件應變和威脅情報。

收集方法差異

本指南提供兩種收集方法：

• 選項 1：透過 Bindplane 代理傳送 Syslog：FortiEDR 會將 Syslog 訊息傳送至 Bindplane 代理，再由代理將記錄轉送至 Google SecOps。建議用於即時記錄檔擷取，只需最少基礎架構。
• 選項 2：透過 Cloud 函式將 Syslog 傳送至 GCS：FortiEDR 會將 Syslog 訊息傳送至 Cloud 函式，該函式會將記錄寫入 GCS，以便 Google SecOps 擷取。建議用於集中化記錄儲存和批次處理。

選擇最符合基礎架構和需求的方法。

方法 1：使用 Bindplane 代理程式收集 Fortinet FortiEDR 記錄

事前準備

請確認您已完成下列事前準備：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• Bindplane 代理程式與 Fortinet FortiEDR Central Manager 之間的網路連線
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• Fortinet FortiEDR 管理控制台的特殊存取權
• FortiEDR 5.0 以上版本

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 提供下列設定詳細資料：
   • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」 > 「Collection Agents」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。

3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sc query observiq-otel-collector
   

服務應顯示為「RUNNING」。

安裝 Linux

1. 開啟具有 root 或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sudo systemctl status observiq-otel-collector
   

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fortiedr:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: FORTINET_FORTIEDR
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fortiedr_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/fortiedr

設定參數

替換下列預留位置：

接收器設定：

• listen_address：要接聽的 IP 位址和通訊埠。使用 0.0.0.0:514 監聽通訊埠 514 上的所有介面。

Exporter 設定：

• creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
  • Linux：/opt/observiq-otel-collector/ingestion-auth.json
  • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• customer_id：上一個步驟中的客戶 ID。
• location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
• project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
• endpoint：請將此值設為 chronicle.googleapis.com。
• ingestion_labels：YAML 格式的選用標籤。

舊版擷取 API 匯出工具

• 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/fortiedr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORTINET_FORTIEDR
      raw_log_field: body
      ingestion_labels:
        env: production
  

儲存設定檔

編輯完畢後，請儲存檔案：

• Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
• Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

• Linux

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

     sudo systemctl status observiq-otel-collector
     

  2. 查看記錄檔是否有錯誤：

     sudo journalctl -u observiq-otel-collector -f
     

• Windows

  選擇下列任一選項：

  • 以管理員身分使用命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 使用「服務」控制台：

    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出「observIQ OpenTelemetry Collector」。

    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 查看記錄檔是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 Fortinet FortiEDR syslog 轉送

設定 syslog 目的地

1. 登入 FortiEDR Central Manager 控制台。
2. 依序前往「Administration」>「Export Settings」>「Syslog」。
3. 按一下「Define New Syslog」(定義新的系統記錄) 按鈕。
4. 在「Syslog Name」(系統記錄名稱) 欄位中，輸入描述性名稱 (例如 Chronicle-Integration)。
5. 在「Host」(主機) 欄位中，輸入 Bindplane 代理程式主機的 IP 位址。
6. 在「Port」(通訊埠) 欄位中輸入 514。
7. 在「通訊協定」下拉式選單中，選取「TCP」。
8. 在「格式」下拉式選單中，選取「分號」 (預設格式，欄位以分號分隔)。
9. 按一下「測試」按鈕，測試與 Bindplane 代理程式的連線。
10. 確認測試成功。
11. 按一下「儲存」按鈕，儲存系統記錄目的地。

為每個事件類型啟用系統記錄通知

1. 在「Syslog」Syslog頁面中，選取您剛建立的系統記錄目的地資料列。
2. 在右側的「通知」窗格中，使用滑桿為每個事件類型啟用或停用目的地：
   • 系統事件：啟用後，系統會傳送 FortiEDR 系統健康狀態事件。
   • 安全性事件：啟用後，即可傳送安全性事件匯總資料。
   • 稽核追蹤記錄：啟用後即可傳送稽核記錄事件。
3. 針對每個已啟用的事件類型，按一下事件類型右側的按鈕。
4. 勾選要納入系統記錄訊息的欄位。
5. 按一下 [儲存]。

設定應對手冊通知

只有在裝置發生安全事件，且裝置已指派給啟用「傳送系統記錄通知」選項的 Playbook 政策時，系統才會傳送系統記錄訊息。

1. 依序前往「Security Settings」 > 「Playbooks」。
2. 選取要套用至監控裝置的 Playbook 政策 (例如「Default Playbook」)。
3. 在「通知」部分，找到「Syslog」列。
4. 勾選要傳送的事件分類核取方塊，啟用「Send Syslog Notification」選項：
   • 惡意：歸類為惡意的安全性事件。
   • 可疑：歸類為可疑的安全性事件。
   • PUP：可能有害的程式。
   • 無法判定：分類結果為無法判定的事件。
   • 可能安全：歸類為可能安全的事件 (選用)。

5. 按一下 [儲存]。

方法 2：使用 GCS 收集 Fortinet FortiEDR 記錄

事前準備

請確認您已完成下列事前準備：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 GCP 專案
• 建立及管理 GCS bucket 的權限
• 管理 Google Cloud Storage 值區 IAM 政策的權限
• 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
• Fortinet FortiEDR 管理控制台的特殊存取權
• FortiEDR 5.0 以上版本

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 fortiedr-logs)
   位置類型	請根據需求選擇 (單一區域、雙區域、多區域)
   位置	選取位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或資料保留政策

6. 點選「建立」。

建立 Cloud Run 函式的服務帳戶

Cloud Run 函式需要服務帳戶，並具備寫入 GCS bucket 的權限，且可由 Pub/Sub 叫用。

建立服務帳戶

1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
2. 按一下「Create Service Account」(建立服務帳戶)。
3. 提供下列設定詳細資料：
   • 「Service account name」(服務帳戶名稱)：輸入 fortiedr-syslog-collector-sa。
   • 服務帳戶說明：輸入 Service account for Cloud Run function to collect FortiEDR syslog logs。
4. 按一下「建立並繼續」。
5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
   1. 按一下「請選擇角色」。
   2. 搜尋並選取「Storage 物件管理員」。
   3. 點選「+ 新增其他角色」。
   4. 搜尋並選取「Cloud Run Invoker」。
   5. 點選「+ 新增其他角色」。
   6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
6. 按一下「繼續」。
7. 按一下「完成」。

這些角色適用於：

• Storage 物件管理員：將記錄檔寫入 GCS bucket 並管理狀態檔案
• Cloud Run 叫用者：允許 Pub/Sub 叫用函式
• Cloud Functions 叫用者：允許叫用函式

授予 GCS bucket 的 IAM 權限

授予服務帳戶 GCS bucket 的寫入權限：

1. 依序前往「Cloud Storage」>「Buckets」。
2. 按一下 bucket 名稱。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 提供下列設定詳細資料：
   • 新增主體：輸入服務帳戶電子郵件地址 (例如 fortiedr-syslog-collector-sa@PROJECT_ID.iam.gserviceaccount.com)。
   • 指派角色：選取「Storage 物件管理員」。
6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，供 Cloud Scheduler 發布訊息，以及 Cloud Run 函式訂閱訊息。

1. 在 GCP 控制台中，依序前往「Pub/Sub」>「Topics」(主題)。
2. 按一下「建立主題」。
3. 提供下列設定詳細資料：
   • 主題 ID：輸入 fortiedr-syslog-trigger。
   • 其他設定保留預設值。
4. 點選「建立」。

建立 Cloud Run 函式來接收系統記錄

Cloud Run 函式會透過 HTTP 接收 FortiEDR 的系統記錄訊息，並寫入 GCS。

1. 前往 GCP 控制台的「Cloud Run」。
2. 按一下「Create service」(建立服務)。
3. 選取「函式」 (使用內嵌編輯器建立函式)。

4. 在「設定」部分，提供下列設定詳細資料：

   設定	值
   服務名稱	fortiedr-syslog-collector
   區域	選取與 GCS bucket 相符的區域 (例如 us-central1)
   執行階段	選取 Python 3.12 以上版本

5. 在「觸發條件 (選用)」部分：

   1. 按一下「+ 新增觸發條件」。
   2. 選取「HTTPS」HTTPS。
   3. 在「Authentication」(驗證) 中，選取「Allow unauthenticated invocations」(允許未經驗證的叫用)。
   4. 按一下 [儲存]。

6. 捲動至「容器、網路、安全性」，然後展開該部分。

7. 前往「安全性」分頁：

   • 服務帳戶：選取服務帳戶 (fortiedr-syslog-collector-sa)。

8. 前往「容器」分頁：

   1. 按一下「變數與密鑰」。

   2. 針對每個環境變數，按一下「+ 新增變數」：

      變數名稱	範例值	說明
      GCS_BUCKET	fortiedr-logs	GCS bucket 名稱
      GCS_PREFIX	fortiedr-syslog	記錄檔的前置字串

9. 在「Variables & Secrets」(變數與 Secret) 部分，捲動至「Requests」(要求)：

   • 要求逾時：輸入 60 秒。

10. 前往「設定」分頁：

    • 在「Resources」(資源) 部分：
      • 記憶體：選取「256 MiB」以上。
      • CPU：選取「1」。

11. 在「修訂版本資源調度」部分：

    • 「執行個體數量下限」：輸入 0。
    • 「執行個體數量上限」：輸入 10 (或依預期負載調整)。

12. 點選「建立」。

13. 等待服務建立完成 (1 至 2 分鐘)。

14. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

1. 在「進入點」欄位中輸入 main。

2. 在內嵌程式碼編輯器中，建立兩個檔案：

   • 第一個檔案：main.py:

   import functions_framework
   from google.cloud import storage
   import json
   import os
   from datetime import datetime, timezone
   from flask import Request
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Environment variables
   GCS_BUCKET = os.environ.get('GCS_BUCKET')
   GCS_PREFIX = os.environ.get('GCS_PREFIX', 'fortiedr-syslog')
   
   @functions_framework.http
   def main(request: Request):
       """
       Cloud Run function to receive syslog messages from FortiEDR and write to GCS.
   
       Args:
           request: Flask Request object containing syslog message
       """
   
       if not GCS_BUCKET:
           print('Error: Missing GCS_BUCKET environment variable')
           return ('Missing GCS_BUCKET environment variable', 500)
   
       try:
           # Get request body
           request_data = request.get_data(as_text=True)
   
           if not request_data:
               print('Warning: Empty request body')
               return ('Empty request body', 400)
   
           # Parse syslog messages (one per line)
           lines = request_data.strip().split('\n')
   
           if not lines:
               print('Warning: No syslog messages found')
               return ('No syslog messages found', 400)
   
           # Get GCS bucket
           bucket = storage_client.bucket(GCS_BUCKET)
   
           # Write to GCS as NDJSON
           now = datetime.now(timezone.utc)
           timestamp = now.strftime('%Y%m%d_%H%M%S_%f')
           object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
           blob = bucket.blob(object_key)
   
           # Convert each line to JSON object with raw syslog message
           records = []
           for line in lines:
               if line.strip():
                   records.append({'raw': line.strip(), 'timestamp': now.isoformat()})
   
           ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
           blob.upload_from_string(ndjson, content_type='application/x-ndjson')
   
           print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")
   
           return (f"Successfully processed {len(records)} records", 200)
   
       except Exception as e:
           print(f'Error processing syslog: {str(e)}')
           return (f'Error processing syslog: {str(e)}', 500)
   

   • 第二個檔案：requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   flask==3.*
   

3. 按一下「部署」，即可儲存並部署函式。

4. 等待部署作業完成 (2 至 3 分鐘)。

5. 部署完成後，前往「觸發條件」分頁，複製「觸發條件網址」 (例如 https://fortiedr-syslog-collector-abc123-uc.a.run.app)。

設定 Fortinet FortiEDR 系統記錄轉送至 Cloud Function

設定 syslog 目的地

1. 登入 FortiEDR Central Manager 控制台。
2. 依序前往「Administration」>「Export Settings」>「Syslog」。
3. 按一下「定義新的系統記錄」按鈕。
4. 在「Syslog Name」(系統記錄名稱) 欄位中，輸入描述性名稱 (例如 Chronicle-GCS-Integration)。
5. 在「Host」(主機) 欄位中，輸入 Cloud Functions 觸發網址的主機名稱 (例如 fortiedr-syslog-collector-abc123-uc.a.run.app)。
6. 在「Port」(通訊埠) 欄位中輸入 443。
7. 在「Protocol」(通訊協定) 下拉式選單中，選取「TCP」。
8. 在「格式」下拉式選單中，選取「分號」 (以分號分隔欄位的預設格式)。
9. 按一下「測試」按鈕，測試與 Cloud Function 的連線。
10. 確認測試成功。

11. 按一下「儲存」按鈕，儲存系統記錄目的地。

啟用各事件類型的系統記錄通知

1. 在「Syslog」Syslog頁面中，選取您剛建立的系統記錄目的地資料列。
2. 在右側的「通知」窗格中，使用滑桿為每個事件類型啟用或停用目的地：
   • 系統事件：啟用後，系統會傳送 FortiEDR 系統健康狀態事件。
   • 安全性事件：啟用後，即可傳送安全性事件匯總資料。
   • 稽核追蹤記錄：啟用後即可傳送稽核記錄事件。
3. 針對每個已啟用的事件類型，按一下事件類型右側的按鈕。
4. 勾選要納入系統記錄訊息的欄位。
5. 按一下 [儲存]。

設定應對手冊通知

只有在裝置發生安全事件，且裝置已指派給啟用「傳送系統記錄通知」選項的 Playbook 政策時，系統才會傳送系統記錄訊息。

1. 依序前往「Security Settings」(安全性設定)>「Playbooks」(劇本)。
2. 選取要監控裝置適用的 Playbook 政策 (例如「預設 Playbook」)。
3. 在「通知」部分，找到「Syslog」列。
4. 勾選要傳送的事件分類核取方塊，啟用「Send Syslog Notification」選項：
   • 惡意：歸類為惡意的安全性事件。
   • 可疑：歸類為可疑的安全性事件。
   • PUP：可能有害的程式。
   • 無法判定：分類結果為無法判定的事件。
   • 可能安全：歸類為可能安全的事件 (選用)。

5. 按一下 [儲存]。

測試整合

1. 在 FortiEDR Central Manager 控制台中，依序前往「Administration」 >「Export Settings」 >「Syslog」。
2. 選取系統記錄目的地列。
3. 點選「測試」按鈕，傳送測試訊息。
4. 前往 GCP 控制台的「Cloud Run」>「服務」。
5. 按一下函式名稱 (fortiedr-syslog-collector)。
6. 點選「記錄」分頁標籤。

7. 確認函式是否執行成功。尋找：

   Wrote X records to gs://fortiedr-logs/fortiedr-syslog/logs_YYYYMMDD_HHMMSS_MMMMMM.ndjson
   Successfully processed X records
   

8. 依序前往「Cloud Storage」 > 「Bucket」。

9. 按一下 bucket 名稱。

10. 前往前置字元資料夾 (fortiedr-syslog/)。

11. 確認系統已建立新的 .ndjson 檔案，並加上目前的時間戳記。

如果記錄中顯示錯誤：

• 要求主體空白：FortiEDR 未將資料傳送至 Cloud Function
• 缺少 GCS_BUCKET 環境變數：檢查是否已設定環境變數
• 權限遭拒：確認服務帳戶在 bucket 中具備 Storage 物件管理員角色

擷取 Google SecOps 服務帳戶

Google SecOps 會使用專屬服務帳戶，從 GCS bucket 讀取資料。您必須授予這個服務帳戶值區存取權。

在 Google SecOps 設定動態饋給，擷取 Fortinet FortiEDR 記錄

1. 依序前往 「SIEM 設定」 > 「動態饋給」。
2. 按一下「新增動態饋給」。
3. 按一下「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 FortiEDR Syslog Logs)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。

6. 選取「Fortinet FortiEDR」做為「記錄類型」。

7. 按一下「取得服務帳戶」。

8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 複製這個電子郵件地址。後續步驟會用到。

10. 點選「下一步」。

11. 指定下列輸入參數的值：

    • Storage bucket URL：輸入 GCS bucket URI，並加上前置字元路徑：

      gs://fortiedr-logs/fortiedr-syslog/
      

      更改項目：

      • fortiedr-logs：GCS bucket 名稱。
      • fortiedr-syslog：儲存記錄的選用前置字元/資料夾路徑 (留空則為根目錄)。

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：一律不會在轉移後刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
      • 刪除已轉移的檔案和空目錄：成功轉移後，刪除檔案和空目錄。

    • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設為 180 天。

    • Asset namespace：資產命名空間。

    • 擷取標籤：要套用至這個動態饋給事件的標籤。

12. 點選「下一步」。

13. 在「Finalize」(完成) 畫面中檢查新的新聞動態消息設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

1. 依序前往「Cloud Storage」>「Buckets」。
2. 按一下 bucket 名稱。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址。
   • 指派角色：選取「Storage 物件檢視者」。

6. 按一下 [儲存]。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。