查看已计费的注入量

支持的服务：

Google Security Operations 结算费用是根据注入到平台中的原始日志数据量 计算的。本文档简要介绍了如何利用与结算系统一致的特定注入指标，以确保准确的费用管理和预测。

以下原则定义了如何计算注入量以进行结算：

  • 可计费量：结算计算仅基于原始日志数据字节数。与日志关联的元数据、内部标签和扩充标记不计入可计费总额。

  • 权威数据源：结算系统中提供的注入指标是财务报告的唯一权威来源。不得使用特定结算模块之外的外部指标或内部信息中心进行预算对账或费用审核。

查看注入量

出于结算目的，您可以在三个主要位置访问注入量数据。 每个来源都使用相同的底层注入指标数据，以保持数据一致性并与财务报表保持一致。

方法 1：主信息中心

主信息中心提供注入趋势随时间变化的概要可视化图表。此视图有助于监控每日峰值并识别长期注入模式。

  1. 登录 Google SecOps。

  2. 依次点击信息中心和报告 > 信息中心。

  3. 使用搜索 标签页查找并选择主 信息中心。

  4. 前往吞吐量 微件，监控数据注入速率。您可以使用时间范围选择器计算特定时间间隔内的总吞吐量。

方法 2：“数据健康状况和注入”信息中心

数据健康状况和注入 信息中心提供按 日志类型 和 来源 分类的注入遥测数据的详细视图。此信息中心有助于审核 每个日志来源的级别 的注入量，从而帮助识别可计费总量的具体贡献者。

  1. 登录 Google SecOps。

  2. 依次点击信息中心和报告 > 信息中心。

  3. 使用搜索 标签页查找并选择数据注入和健康状况 信息中心。

  4. 前往吞吐量 微件，分析数据注入速率。您可以使用时间范围选择器计算特定时间间隔内的总吞吐量。

方法 3：Cloud Monitoring

Cloud Monitoring 方法适用于使用自带项目 (BYOP) 设置的客户。此方法允许使用外部监控工具直接从底层项目基础架构查询注入遥测数据。

  1. 前往 Google Cloud 控制台，然后在搜索栏中输入 Metrics Explorer。或者，点击 菜单 Menu，然后依次选择 监控 > Metrics Explorer。

  2. 选择您的 Cloud Monitoring 配置文件。

  3. 在配置文件 页面的搜索栏中，输入 Integrations 。

  4. 选择 Metrics Explorer 。

  5. 点击 promQL 以切换到 promQL 查询模式。

  6. 以表格格式查看结果：找到结果 ，然后选择表格 。

  7. 查看注入量 (ingestion_log_byte_count)：将以下注入指标查询复制并粘贴到查询编辑器中，然后运行查询：

    
    sum (increase(chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector"}[1h]))

  8. 可选：过滤特定日志类型并将其包含在查询中。例如，如需查看日志类型 GCP_CLOUDAUDIT 的注入量，请运行以下查询：

        sum(increase(chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector",log_type="GCP_CLOUDAUDIT"}[1h]))

比较注入量计算和时间限制

Google SecOps 界面不会显示自实例预配以来注入的原始日志的累计计数器。由于每个报告工具都使用不同的回溯期和数据流水线，因此，一旦实例超出您查询的工具的保留期限，您就无法计算自实例开始时间以来的总数。

以下细分显示了您可以在何处计算注入量，以及不同位置的值有何不同：

  • Google SecOps 信息中心（最多 365 天）：

    • 计算位置：依次打开信息中心和报告 > 信息中心，然后在主信息中心或数据注入和健康状况信息中心（包括注入 - 吞吐量（所有时间）图表）中查看吞吐量微件。您还可以针对 sum($event.ingestion.log_volume) 运行自定义信息中心查询，并按 $event.ingestion.component = "Ingestion API" 进行过滤。
    • 最长时间范围：查询最多只能查询 365 天，即使在经过整理的 注入 - 吞吐量（所有时间） 图表中也是如此。
    • 值有何不同：信息中心查询异步 ingestion_metrics 表，该表大约每 5 分钟收集一次遥测数据，并且可能会出现收集延迟或瞬时指标下降的情况。这些值是近似值，仅反映在所选时间范围内通过 Ingestion API 注入的日志，而不是所有注入方法的所有时间原始日志字节数或最终计费量。

  • Cloud Monitoring Metrics Explorer（BYOP 实例最多 24 个月）：

    • 计算位置：在 Google Cloud 控制台中，依次打开监控 > Metrics Explorer，然后针对chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector"}运行查询（如方法 3所示）。
    • 最长时间范围：查询最多只能查询 24 个月，具体取决于 Cloud Monitoring 指标保留期限。
    • 值有何不同：Cloud Monitoring 会查询您所选时间窗口内的收集器级注入字节数。这些值涵盖的回溯期比 Google SecOps 信息中心更长（最多 24 个月，而不是 365 天），但如果您的实例超过 24 个月，则不会反映所有时间总数。

  • BigQuery Export（超过 365 天，具体取决于您的数据集保留期限）：

    • 计算位置：导出 ingestion_metrics 表后，打开您的 BigQuery 项目，然后针对 SUM(log_volume)（或 total_size_bytes 在 Looker 和 BigQuery 中）运行查询，并按 component = "Ingestion API" 进行过滤。
    • 最长时间范围：查询仅限于您启用导出功能后为 BigQuery 表配置的保留期限，而不是 365 天的信息中心限制。
    • 值有何不同：BigQuery 查询与 Google SecOps 信息中心相同的异步 ingestion_metrics 表。这些值与同一时间范围的信息中心查询相匹配，但它们仍然是近似遥测指标，而不是所有时间原始日志字节数或权威对账单。

针对注入的数据量创建提醒

针对注入量创建提醒有助于您管理费用并应对意外峰值。Cloud Monitoring 会处理提醒工作流。

如需根据合同限制监控每日注入量，请使用注入的日志总大小 (chronicle.googleapis.com/ingestion/log/bytes_count) 指标。

如需查看分步配置说明，请参阅设置示例政策以监控每日注入量。

监控受管理租户的注入指标

借助 Cloud Monitoring 范围，您可以集中查看受管理项目（租户）的注入量。

借助指标范围，您可以在单个控制台中监控多个受管理 Google Cloud 租户 的数据。此功能需要以下配置：

  • 受管理租户必须向中央 Cloud Monitoring 项目提供必要的权限。
  • 主账号必须配置为范围项目 。

通过此配置，集中视图有助于监控整个环境中的总注入量 (log_byte_count)。

如需了解详情，请参阅指标范围概览。如需设置此视图，请参阅配置指标范围。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。