查看計費擷取量

支援：

Google Security Operations 的計費方式，是根據擷取至平台的原始記錄資料量計算。本文說明如何利用與結帳系統一致的特定擷取指標，確保成本管理和預測準確無誤。

計算費用時，擷取數量的計算方式如下：

  • 計費資料量：計費計算完全以原始記錄資料位元組為依據。與記錄相關聯的中繼資料、內部標籤和擴充標記，則不計入計費總量。

  • 權威資料來源：結帳系統提供的擷取指標是財務報表的唯一權威來源。請勿使用特定帳單模組以外的外部指標或內部資訊主頁，進行預算對帳或費用稽核。

查看擷取量

您可以在三個主要位置，查看用於計費的擷取量資料。每個來源都使用相同的基礎擷取指標資料，確保資料一致，並與財務報表保持一致。

方法 1：主要資訊主頁

主要資訊主頁會以圖表呈現一段時間內的擷取趨勢，這個檢視畫面可讓您輕鬆監控每日資料量高峰，並找出長期擷取模式。

  1. 登入 Google SecOps。

  2. 依序點選「資訊主頁和報表」>「資訊主頁」。

  3. 使用「搜尋」分頁，找出並選取「Main」資訊主頁。

  4. 前往「Throughput」(處理量) 小工具，監控資料擷取率。您可以使用時間範圍選取器，計算特定間隔內的總處理量。

方法 2：資料健康狀態和擷取資訊主頁

「資料健康狀態和擷取」資訊主頁會依記錄類型和來源分類，提供擷取遙測資料的精細檢視畫面。這個資訊主頁可協助您依記錄來源稽核擷取量，找出造成總計可計費資料量的特定因素。

  1. 登入 Google SecOps。

  2. 依序點選「資訊主頁和報表」>「資訊主頁」。

  3. 使用「搜尋」分頁標籤，找出並選取「資料擷取和健康狀態」資訊主頁。

  4. 前往「Throughput」(處理量) 小工具，分析資料擷取率。您可以使用時間範圍選取器，計算特定間隔的總處理量。

方法 3：Cloud Monitoring

Cloud Monitoring 方法適用於使用「自備專案」(BYOP) 設定的客戶。這種方法允許使用外部監控工具，直接從基礎專案基礎架構查詢擷取遙測資料。

  1. 前往 Google Cloud 控制台，在搜尋列輸入「Metrics Explorer」，或者，依序點選「選單」圖示 >「監控」>「Metrics Explorer」。

  2. 選取 Cloud Monitoring 設定檔。

  3. 在「設定檔」頁面的搜尋列中，輸入「整合」。

  4. 選取「Metrics Explorer」。

  5. 按一下「promQL」promQL，切換至 promQL 查詢模式。

  6. 以表格格式查看結果：找到「結果」，然後選取「表格」。

  7. 查看擷取量 (ingestion_log_byte_count)：複製下列擷取指標查詢，並貼到查詢編輯器，然後執行查詢：

    
    sum (increase(chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector"}[1h]))

  8. 選用：篩選特定記錄類型，並納入查詢。舉例來說，如要查看 GCP_CLOUDAUDIT 記錄類型的擷取作業，請執行下列查詢：

        sum(increase(chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector",log_type="GCP_CLOUDAUDIT"}[1h]))

比較擷取量計算方式和時間限制

Google SecOps 介面不會顯示自執行個體佈建以來，原始記錄的累計計數器。由於每項報表工具使用的回溯期和資料管道不同，因此當執行個體超過查詢工具的保留期限時，您就無法從執行個體開始時間計算總計時間。

以下詳細說明計算擷取量的方式，以及各位置的值有何差異：

  • Google SecOps 資訊主頁 (最多 365 天)：

    • 計算位置：依序開啟「資訊主頁和報表」>「資訊主頁」，然後在「主要」或「資料擷取和健康狀態」資訊主頁 (包括「擷取 - 處理量 (不限時間)」圖表) 查看「處理量」小工具。您也可以執行自訂資訊主頁查詢，依 $event.ingestion.component = "Ingestion API" 篩選 sum($event.ingestion.log_volume)。
    • 日期範圍上限：查詢日期範圍最多為 365 天，即使是精選的「擷取 - 處理量 (歷來)」圖表也一樣。
    • 值為何不同：資訊主頁會查詢非同步 ingestion_metrics 表格，該表格大約每 5 分鐘收集一次遙測資料，因此可能會發生收集延遲或指標暫時下降的情況。這些值為近似值，僅反映在所選日期範圍內透過 Ingestion API 擷取的記錄，而非所有擷取方法的所有原始記錄位元組或最終計費量。

  • Cloud Monitoring Metrics Explorer (BYOP 執行個體最多 24 個月)：

    • 計算位置：在 Google Cloud 控制台中，依序開啟「Monitoring」>「Metrics Explorer」，然後執行 chronicle_googleapis_com:ingestion_log_bytes_count{monitored_resource="chronicle.googleapis.com/Collector"} 查詢 (如方法 3 所示)。
    • 日期範圍上限：根據 Cloud Monitoring 指標保留期限，查詢最多只能涵蓋 24 個月。
    • 值差異：Cloud Monitoring 會查詢所選時間範圍內，收集器層級的擷取位元組數。這些值涵蓋的回溯期比 Google SecOps 資訊主頁長 (最多 24 個月，而非 365 天)，但如果執行個體建立時間超過 24 個月，則不會反映歷來總計。

  • BigQuery Export (超過 365 天，視資料集保留期限而定)：

    • 計算位置：匯出 ingestion_metrics 資料表後，開啟 BigQuery 專案，然後執行 SUM(log_volume) (或 Looker 和 BigQuery 中的 total_size_bytes) 查詢，並依 component = "Ingestion API" 篩選。
    • 日期範圍上限：查詢範圍受限於 BigQuery 資料表設定的保留期限 (從啟用匯出功能起算)，而非資訊主頁的 365 天限制。
    • 值有何差異：BigQuery 查詢的非同步 ingestion_metrics 資料表與 Google SecOps 資訊主頁相同。這些值與相同日期範圍內的資訊主頁查詢相符，但仍是遙測指標的近似值，而非所有時間的原始記錄位元組或權威對帳單。

建立資料擷取量警告

建立擷取量快訊有助於管理費用，並因應非預期的用量激增。Cloud Monitoring 會處理警告工作流程。

如要監控每日擷取量是否超出合約限制，請使用「Total ingested log size」(擷取的記錄檔總大小) (chronicle.googleapis.com/ingestion/log/bytes_count) 指標。

如需逐步設定說明，請參閱「設定範例政策，監控每日擷取量」。

監控各個代管用戶群的擷取指標

Cloud Monitoring 範圍可讓您集中查看各個代管專案 (租戶) 的擷取量。

指標範圍可讓您在單一控制台中，監控多個受管理租戶的資料。 Google Cloud 這項功能需要下列設定：

  • 代管租戶必須將必要權限授予中央 Cloud Monitoring 專案。
  • 主要帳戶必須設為範圍專案。

採用這項設定後，您就能透過集中檢視畫面，監控整個環境的總擷取量 (log_byte_count)。

詳情請參閱「指標範圍總覽」。如要設定這個檢視畫面，請參閱「設定指標範圍」。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。