Nutzerhandbuch zur Feedverwaltung

Übersicht und Voraussetzungen

Mit der Google Security Operations-Feedverwaltung können Sie Datenfeeds für Ihr Google Security Operations-Konto erstellen und verwalten. Die Benutzeroberfläche für die Feedverwaltung basiert auf der Feedverwaltungs-API. Weitere Informationen finden Sie in der Dokumentation zur Feed Management API.

Für jeden Datenfeed gelten bestimmte Voraussetzungen, die vor der Einrichtung des Feeds in Google Security Operations erfüllt werden müssen. Diese Voraussetzungen werden im Abschnitt Feedkonfiguration nach Typ der Dokumentation zur Feed Management API beschrieben. Suchen Sie nach dem Datenfeed-Typ, den Sie einrichten möchten, und folgen Sie der Anleitung.

Quelldateien löschen

Wie im Abschnitt Übersicht erwähnt, gelten für verschiedene Feedtypen unterschiedliche Voraussetzungen.

Für mehrere Feedtypen, einschließlich Cloud Storage, gibt es im Workflow Neuen Feed hinzufügen oder Feed bearbeiten ein Feld mit der Bezeichnung OPTION zum Löschen der Quelle. Dieses Menü hat drei Optionen:

1. Dateien nie löschen
2. Übertragene Dateien und leere Verzeichnisse löschen
3. Übertragene Dateien löschen

Die Optionen 2 und 3 beinhalten Löschungen: eine für Dateien und eine für Dateien UND leere Verzeichnisse. Wenn Sie eine dieser Optionen auswählen, müssen Sie die spezifischen Berechtigungen für Ihren Feedtyp hinzufügen. Sie finden sie in der Dokumentation zur Feed Management API im Abschnitt Feedkonfiguration nach Typ.

Mit dieser Option können Sie ein Objekt nach der Übertragung aus dem Speichersystem löschen. Feeds merken sich immer, welche Objekte (oder Dateien) übertragen wurden, und übertragen dieselbe Datei nie zweimal (es sei denn, sie wurde aktualisiert). Sie müssen diese Option jedoch festlegen, wenn das System das Quellobjekt nach der (erfolgreichen) Übertragung löschen soll.

Microsoft Azure Blob Storage unterstützt das Löschen von Quelldateien nicht. Die folgenden Optionen zum Löschen von Quellen dürfen nicht mit dem Microsoft Azure Blob Storage-Quelltyp verwendet werden:

• Übertragene Dateien und leere Verzeichnisse löschen
• Übertragene Dateien löschen

Wenn Sie einen Feed mit einer Microsoft Azure Blob Storage-Quelle erstellen, wählen Sie nur die Option Dateien nie löschen aus.

Erstellen und Bearbeiten von Feeds

So greifen Sie auf die Oberfläche zur Feedverwaltung zu:

1. Klicken Sie in der Navigationsleiste auf Einstellungen.

2. Klicken Sie unter Einstellungen auf Feeds.

Die auf dieser Seite aufgeführten Datenfeeds umfassen neben den von Ihnen konfigurierten Feeds auch alle Feeds, die Google für Ihr Konto konfiguriert hat.

Feed hinzufügen

Führen Sie die folgenden Schritte aus, um Ihrem Google Security Operations-Konto einen Feed hinzuzufügen. Bevor Sie hier einen neuen Feed hinzufügen, müssen Sie alle Voraussetzungen für den Datenfeedtyp erfüllen, den Sie hinzufügen möchten. Weitere Informationen finden Sie im Abschnitt Übersicht und Voraussetzungen.

Sie können für jeden Logtyp bis zu fünf Feeds hinzufügen.

1. Klicken Sie auf Add new (Neuen Eintrag hinzufügen). Das Fenster Feed hinzufügen wird angezeigt.

2. Geben Sie einen Feednamen ein.
   Hinweis: Neue Feeds erfordern einen Feednamen. Für vorhandene Feeds wird auf der Seite „Feeds“ der Hinweis [Nicht konfiguriert] angezeigt.

3. Wählen Sie Source type (Quelltyp) aus dem Menü aus. Der Quelltyp ist der Mechanismus, mit dem Sie Daten in Google Security Operations importieren möchten. Die folgenden Arten von Feedquellen stehen zur Auswahl:

   • Amazon Data Firehose
   • Amazon S3
   • Amazon SQS
   • Google Cloud Pub/Sub
   • Google Cloud Storage
   • HTTP(S)-Dateien (nicht API)
   • Microsoft Azure Blob Storage
   • Drittanbieter-API
   • Webhook
   Hinweis: Achten Sie bei Amazon SQS darauf, die Berechtigungen für Google Security Operations zu aktivieren, um die Amazon SQS-Warteschlangennachrichten löschen zu können.

4. Wählen Sie im Menü den Logtyp aus. Welche Logs verfügbar sind, hängt vom Quelltyp ab, den Sie zuvor ausgewählt haben. Klicken Sie auf Next.

   Wenn Sie als Quelltyp Google Cloud Storage auswählen, verwenden Sie die Option Dienstkonto abrufen, um ein eindeutiges Dienstkonto abzurufen. Sehen Sie sich in diesem Dokument das Beispiel für die Einrichtung eines Google Cloud Storage-Feeds an.

5. Geben Sie die erforderlichen Parameter auf dem Tab Eingabeparameter an. Die hier angezeigten Optionen variieren je nach Quelle und Protokolltyp, die auf dem Tab Eigenschaften festlegen ausgewählt wurden. Bewegen Sie den Mauszeiger über das Fragesymbol eines Felds, um zusätzliche Informationen zu den erforderlichen Angaben zu erhalten.

6. (Optional) Hier können Sie einen Namespace angeben. Weitere Informationen zu Namespaces finden Sie in der Dokumentation zu Asset-Namespaces.

7. Klicken Sie auf Weiter.

8. Prüfen Sie die neue Feedkonfiguration auf dem Tab Abschließen. Klicken Sie abschließend auf Senden. Google Security Operations führt eine Validierung des neuen Feeds durch. Wenn der Feed die Prüfung besteht, wird ein Name für den Feed generiert, an Google Security Operations gesendet und Google Security Operations versucht, Daten abzurufen.

   

   Abbildung 4: Feedanfrage abschließen

Pub/Sub-Push-Feed einrichten

So richten Sie einen Pub/Sub-Push-Feed ein:

1. Erstellen Sie einen Pub/Sub-Push-Feed.
2. Geben Sie die Endpunkt-URL in einem Pub/Sub-Abo an.

Pub/Sub-Push-Feed erstellen

1. Wählen Sie im Menü von Google Security Operations Settings (Einstellungen) aus und klicken Sie dann auf Feeds.
2. Klicken Sie auf Neu hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein.
4. Wählen Sie in der Liste Source Type (Quelltyp) die Option Google Cloud Pub/Sub Push aus.
5. Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für Open Cybersecurity Schema Framework erstellen möchten, wählen Sie Open Cybersecurity Schema Framework (OCSF) als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
   • Split-Trennzeichen: das Trennzeichen, das zum Trennen von Protokollzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
8. Klicken Sie auf Weiter.
9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
10. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie benötigen diese Endpunkt-URL, um ein Push-Abo in Pub/Sub zu erstellen.
11. Klicken Sie auf die Ein/Aus-Schaltfläche Feed aktiviert, um den Feed zu deaktivieren. Der Feed ist standardmäßig aktiviert.
12. Klicken Sie auf Fertig.

Endpunkt-URL angeben

Nachdem Sie einen Pub/Sub-Push-Feed erstellt haben, erstellen Sie in Pub/Sub ein Push-Abo, geben den HTTPS-Endpunkt an und aktivieren die Authentifizierung.

1. Erstellen Sie ein Push-Abo in Pub/Sub. Weitere Informationen zum Erstellen eines Push-Abos finden Sie unter Push-Abos erstellen.
2. Geben Sie die Endpunkt-URL an, die im Google Cloud Pub/Sub-Push-Feed verfügbar ist.
3. Wählen Sie Authentifizierung aktivieren und dann ein Dienstkonto aus.

Hinweis: Wenn Sie Logs aus einem anderen Google Cloud-Projekt übertragen müssen, das nicht an Google Security Operations gebunden ist, z. B. von einem nutzerverwalteten Dienstkonto, müssen Sie eine Logsenke einrichten. Weitere Informationen zu Logsenken finden Sie unter Logs an unterstützte Ziele weiterleiten.

Amazon Data Firehose-Feed einrichten

So richten Sie einen Amazon Data Firehose-Feed ein:

1. Erstellen Sie einen Amazon Data Firehose-Feed und kopieren Sie die Endpunkt-URL und den geheimen Schlüssel.
2. Erstellen Sie einen API-Schlüssel für die Authentifizierung bei Google Security Operations. Sie können auch Ihren vorhandenen API-Schlüssel wiederverwenden, um sich bei Google Security Operations zu authentifizieren.
3. Geben Sie die Endpunkt-URL in Amazon Data Firehose an.

Amazon Data Firehose-Feed erstellen

1. Wählen Sie im Menü von Google Security Operations Settings (Einstellungen) aus und klicken Sie dann auf Feeds.
2. Klicken Sie auf Neu hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein.
4. Wählen Sie in der Liste Source Type (Quelltyp) die Option Amazon Data Firehose aus.
5. Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für Open Cybersecurity Schema Framework erstellen möchten, wählen Sie Open Cybersecurity Schema Framework (OCSF) als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
   • Split-Trennzeichen: das Trennzeichen, das zum Trennen von Protokollzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
8. Klicken Sie auf Weiter.
9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
10. Klicken Sie auf Generate Secret Key (Geheimen Schlüssel generieren), um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
11. Kopieren und speichern Sie den geheimen Schlüssel, da Sie dieses Secret nicht mehr aufrufen können. Sie können noch einmal einen neuen geheimen Schlüssel generieren, aber eine Neugenerierung des geheimen Schlüssels macht den vorherigen geheimen Schlüssel veraltet.
12. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie benötigen diese Endpunkt-URL, wenn Sie die Zieleinstellungen für Ihren Übermittlungsstream in Amazon Data Firehose angeben.
13. Klicken Sie auf die Ein/Aus-Schaltfläche Feed aktiviert, um den Feed zu deaktivieren. Der Feed ist standardmäßig aktiviert.
14. Klicken Sie auf Fertig.

API-Schlüssel für den Amazon Data Firehose-Feed erstellen

1. Rufen Sie in der Google Cloud Console die Seite Anmeldedaten auf.
2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.
3. Schränken Sie den API-Schlüsselzugriff auf die Chronicle API ein.

Endpunkt-URL angeben

Geben Sie in Amazon Data Firehose den HTTPS-Endpunkt und den Zugriffsschlüssel an.

1. Hängen Sie den API-Schlüssel an die URL des Feed-Endpunkts an und geben Sie diese URL als HTTP-Endpunkt-URL im folgenden Format an:

     ENDPOINT_URL?key=API_KEY
   

   Ersetzen Sie Folgendes:

   • ENDPOINT_URL: die URL des Feed-Endpunkts.
   • API_KEY: der API-Schlüssel zur Authentifizierung bei Google Security Operations.

2. Geben Sie als Zugriffsschlüssel den geheimen Schlüssel an, den Sie beim Erstellen des Amazon Data Firehose-Feeds erhalten haben.

HTTPS-Webhook-Feed einrichten

So richten Sie einen HTTPS-Webhook-Feed ein:

1. Erstellen Sie einen HTTPS-Webhook-Feed und kopieren Sie die Endpunkt-URL und den geheimen Schlüssel.
2. Erstellen Sie einen API-Schlüssel, der mit der Endpunkt-URL angegeben wird. Sie können auch Ihren vorhandenen API-Schlüssel wiederverwenden, um sich bei Google Security Operations zu authentifizieren.
3. Geben Sie die Endpunkt-URL in Ihrer Anwendung an.

HTTPS-Webhook-Feed erstellen

1. Wählen Sie im Menü von Google Security Operations Settings (Einstellungen) aus und klicken Sie dann auf Feeds.
2. Klicken Sie auf Neu hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein.
4. Wählen Sie in der Liste Source Type (Quelltyp) die Option Webhook aus.
5. Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für Open Cybersecurity Schema Framework erstellen möchten, wählen Sie Open Cybersecurity Schema Framework (OCSF) als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
   • Split-Trennzeichen: das Trennzeichen, das zum Trennen von Protokollzeilen verwendet wird, z. B. \n.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
8. Klicken Sie auf Weiter.
9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
10. Klicken Sie auf Generate Secret Key (Geheimen Schlüssel generieren), um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
11. Kopieren und speichern Sie den geheimen Schlüssel, da Sie dieses Secret nicht mehr aufrufen können. Sie können noch einmal einen neuen geheimen Schlüssel generieren, aber eine Neugenerierung des geheimen Schlüssels macht den vorherigen geheimen Schlüssel veraltet.
12. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.
13. Klicken Sie auf die Ein/Aus-Schaltfläche Feed aktiviert, um den Feed zu deaktivieren. Der Feed ist standardmäßig aktiviert.
14. Klicken Sie auf Fertig.

API-Schlüssel für den Webhook-Feed erstellen

1. Rufen Sie in der Google Cloud Console die Seite Anmeldedaten auf.
2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.
3. Schränken Sie den API-Schlüsselzugriff auf die Chronicle API ein.

Endpunkt-URL angeben

1. Geben Sie in Ihrer Clientanwendung den HTTPS-Endpunkt an, der im Webhook-Feed verfügbar ist.

2. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den geheimen Schlüssel als Teil des benutzerdefinierten Headers im folgenden Format angeben:

   X-goog-api-key = API_KEY

   X-Webhook-Access-Key = SECRET

   Wir empfehlen, den API-Schlüssel als Header anzugeben, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Header unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mithilfe von Abfrageparametern im folgenden Format angeben:

     ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ersetzen Sie Folgendes:

   • ENDPOINT_URL: die URL des Feed-Endpunkts.
   • API_KEY: der API-Schlüssel zur Authentifizierung bei Google Security Operations.
   • SECRET: der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

Beispiel für die Einrichtung eines Google Cloud Storage-Feeds

1. Wählen Sie im Menü von Google Security Operations Settings (Einstellungen) aus und klicken Sie dann auf Feeds.
2. Klicken Sie auf Add new (Neuen Eintrag hinzufügen).
3. Wählen Sie Google Cloud Storage als Source Type (Quelltyp) aus.
4. Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für Google Kubernetes Engine-Audit-Logs erstellen möchten, wählen Sie Google Kubernetes Engine-Audit-Logs als Logtyp aus.
5. Klicken Sie auf Dienstkonto abrufen. Google Security Operations bietet ein eindeutiges Dienstkonto, das Google Security Operations zum Aufnehmen von Daten verwendet.
6. Konfigurieren Sie den Zugriff für das Dienstkonto auf die Cloud Storage-Objekte. Weitere Informationen finden Sie in diesem Dokument im Abschnitt Zugriff auf das Google Security Operations-Dienstkonto gewähren.
7. Klicken Sie auf Weiter.
8. Geben Sie basierend auf der von Ihnen erstellten Cloud Storage-Konfiguration Werte für die folgenden Felder an:
   • Storage-Bucket-URI
   • URI ist ein
   • Option zum Löschen der Quelle
9. Klicken Sie auf Weiter und dann auf Senden.

Zugriff auf das Google Security Operations-Dienstkonto gewähren

1. Wechseln Sie in der Cloud Console zur Seite Cloud Storage-Buckets.
   

   Buckets aufrufen

2. Gewähren Sie den entsprechenden Cloud Storage-Objekten Zugriff auf das Dienstkonto.

   • So gewähren Sie Leseberechtigungen für eine bestimmte Datei:

     1. Wählen Sie die Datei aus und klicken Sie auf Zugriff bearbeiten.
     2. Klicken Sie auf Hauptkonto hinzufügen.
     3. Geben Sie im Feld Neue Hauptkonten den Namen des Google Security Operations-Dienstkontos ein.
     4. Weisen Sie dem Google Security Operations-Dienstkonto eine Rolle mit Leseberechtigung zu. Beispiel: Storage-Objekt-Betrachter (roles/storage.objectViewer). Dies ist nur möglich, wenn Sie den einheitlichen Zugriff auf Bucket-Ebene nicht aktiviert haben.
     5. Klicken Sie auf Speichern.

   • Wenn Sie Leseberechtigungen für mehrere Dateien gewähren möchten, müssen Sie den Zugriff auf Bucket-Ebene gewähren. Sie müssen Ihrem Storage-Bucket das Google Security Operations-Dienstkonto als Hauptkonto hinzufügen und ihm die IAM-Rolle Storage Object Viewer (roles/storage.objectViewer) zuweisen.

     Wenn Sie den Feed zum Löschen von Quelldateien konfigurieren, müssen Sie dem Bucket das Google Security Operations-Dienstkonto als Hauptkonto hinzufügen und ihm die IAM-Rolle Storage Object Admin (roles/storage.objectAdmin) zuweisen.

VPC Service Controls konfigurieren

Wenn VPC Service Controls aktiviert ist, ist eine Regel für eingehenden Traffic erforderlich, um Zugriff auf den Cloud Storage-Bucket zu gewähren.

Die folgenden Cloud Storage-Methoden müssen in der Regel für eingehenden Traffic zulässig sein:

• google.storage.objects.list. Erforderlich für einen einzelnen Dateifeed.
• google.storage.objects.get: Erforderlich für Feeds, die Zugriff auf das Verzeichnis oder Unterverzeichnis erfordern.
• google.storage.objects.delete. Erforderlich für Feeds, bei denen die Quelldatei gelöscht werden muss.

Beispiel für eine Regel für eingehenden Traffic

- ingressFrom:
  identities:
    - serviceAccount:[e-mail]
  sources:
  - accessLevel: "*"
  ingressTo:
  operations:
  - serviceName: storage.googleapis.com
    methodSelectors:
    - method: google.storage.objects.list
    - method: google.storage.objects.get
    - method: google.storage.objects.delete
  resources:
  - projects/PROJECT_ID

Feed status

Sie können den Status des Feeds auf der Seite Feeds verfolgen. Feeds können folgende Status haben:

• Aktiv: Der Feed ist konfiguriert und kann Daten in Ihr Google Security Operations-Konto aufnehmen.
• In Bearbeitung: Google Security Operations versucht jetzt, Daten vom konfigurierten Drittanbieter abzurufen.
• Abgeschlossen: Die Daten wurden von diesem Feed abgerufen.
• Archiviert: Feed wurde deaktiviert.

• Fehlgeschlagen: Der Feed kann keine Daten abrufen. Dies ist wahrscheinlich auf ein Konfigurationsproblem zurückzuführen. Klicken Sie auf die Frage, um den Konfigurationsfehler anzuzeigen. Nachdem Sie den Fehler behoben und den Feed noch einmal gesendet haben, kehren Sie zur Seite Feeds zurück, um zu prüfen, ob der Feed jetzt funktioniert.

  Hinweis :Auf der Seite Feeds wird in der Spalte Zuletzt erfolgreich am angezeigt, wann Daten zuletzt von diesem Feed abgerufen wurden. Bei einem neuen Feed ist dieses Feld leer. Es kann etwa 5 bis 10 Minuten dauern, bis ein neuer Feed ausgefüllt wird, da die Verarbeitung der Daten durch Google Security Operations einige Zeit in Anspruch nimmt. Bei einigen Feeds wie Amazon SQS kann es länger dauern. Für Feeds, die bisher nie erfolgreich waren, bleibt dieses Feld leer.

Feeds bearbeiten

Auf der Seite Feeds können Sie einen vorhandenen Feed bearbeiten:

1. Bewegen Sie den Mauszeiger auf einen vorhandenen Feed und klicken Sie in der rechten Spalte auf more_vert.

2. Klicken Sie auf Feed bearbeiten. Sie können jetzt die Eingabeparameter für den Feed ändern und ihn noch einmal an Google Security Operations senden. Google Security Operations versucht, den bearbeiteten Feed zu verwenden.

   Hinweis :Für vorhandene Feeds wird auf der Seite Feeds als Feedname [Nicht konfiguriert] angezeigt. Fügen Sie dem Feed einen Namen hinzu.

Feeds aktivieren und deaktivieren

Aktivierte Feeds werden in der Spalte Status mit Aktiv, In Bearbeitung, Abgeschlossen oder Fehlgeschlagen gekennzeichnet. Deaktivierte Felder sind mit Archiviert gekennzeichnet. Eine Beschreibung finden Sie im Feedstatus.

Auf der Seite Feeds können Sie vorhandene Feeds aktivieren oder deaktivieren:

1. Bewegen Sie den Mauszeiger auf einen vorhandenen Feed und klicken Sie in der rechten Spalte auf more_vert.

2. Um einen Feed zu aktivieren, klicken Sie auf die Ein/Aus-Schaltfläche Feed aktivieren.

3. Wenn Sie einen Feed deaktivieren möchten, klicken Sie auf die Ein/Aus-Schaltfläche Feed deaktivieren. Der Feed hat jetzt das Label Archiviert.

   Hinweis :Wenn Sie einen Feed deaktivieren, können keine neuen Daten in die Aufnahmewarteschlange aufgenommen werden. Vorhandene Übertragungen (aktiv oder gedrosselt) werden bis zum Abschluss fortgesetzt. Wenn Sie die Datenaufnahme sofort stoppen möchten, löschen Sie den Feed.

Feeds löschen

Sie können auf der Seite Feeds auch einen vorhandenen Feed löschen:

1. Bewegen Sie den Mauszeiger auf einen vorhandenen Feed und klicken Sie in der rechten Spalte auf more_vert.

2. Klicken Sie auf Feed löschen. Das Fenster FEED LÖSCHEN wird geöffnet. Um den Feed endgültig zu löschen, klicken Sie auf Ja, löschen.

   Hinweis: Wenn Sie einen Feed löschen, werden keine neuen Daten aufgenommen. Möglicherweise befinden sich bereits Daten in der Warteschlange, die noch verarbeitet werden.

Aufnahmegeschwindigkeit steuern

Wenn die Datenaufnahmerate für einen Mandanten einen bestimmten Grenzwert erreicht, schränkt Google Security Operations die Aufnahmerate für neue Datenfeeds ein. So wird verhindert, dass eine Quelle mit einer hohen Aufnahmerate die Aufnahmerate einer anderen Datenquelle beeinflusst. In diesem Fall tritt eine Verzögerung auf, aber es gehen keine Daten verloren. Der Grenzwert richtet sich nach dem Aufnahmevolumen und dem Nutzungsverlauf des Mandanten.

Wenden Sie sich an Cloud Customer Care, um eine Erhöhung der Ratenbegrenzung anzufordern.

Fehlerbehebung

Auf der Seite Feeds können Sie Details wie Quellentyp, Protokolltyp, Feed-ID und Status der vorhandenen Feeds ansehen:

1. Bewegen Sie den Mauszeiger auf einen vorhandenen Feed und klicken Sie in der rechten Spalte auf more_vert.

2. Klicken Sie auf Feed ansehen. Ein Dialogfeld mit den Feeddetails wird angezeigt. Bei einem fehlgeschlagenen Feed finden Sie die Fehlerdetails unter Details > Status.

Bei einem fehlerhaften Feed enthalten die Details die Ursache des Fehlers und Schritte zur Fehlerbehebung. In der folgenden Tabelle werden die Fehlermeldungen beschrieben, die bei der Arbeit mit Daten-Feeds auftreten können.

Fehlercode	Ursache	Fehlerbehebung
ACCESS_DENIED	Dem in der Feedkonfiguration angegebenen Authentifizierungskonto fehlen die erforderlichen Berechtigungen.	Prüfen Sie, ob das in der Feedkonfiguration angegebene Authentifizierungskonto die erforderlichen Berechtigungen hat. Informationen zu den erforderlichen Berechtigungen finden Sie in der Dokumentation zu Feeds.
ACCESS_TOO_FREQUENT	Der Feed ist fehlgeschlagen, weil es zu viele Versuche gab, die Quelle zu erreichen.	Wenden Sie sich an den Google Security Operations-Support.
CONNECTION_DROPPED	Es wurde eine Verbindung zur Quelle hergestellt, aber die Verbindung wurde getrennt, bevor der Feed abgeschlossen wurde.	Dieser Fehler ist vorübergehend und die Anwendung wiederholt die Anfrage. Sollte das Problem weiterhin auftreten, wenden Sie sich bitte an den -Support.
CONNECTION_FAILED	Die Anwendung kann keine Verbindung zur Quell-IP-Adresse und zum Quellport herstellen.	Prüfen Sie Folgendes: Die Quelle ist verfügbar. Die Verbindung wird nicht durch eine Firewall blockiert. Die dem Server zugeordnete IP-Adresse ist korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
DNS_ERROR	Der Quellhostname kann nicht aufgelöst werden.	Der Hostname des Servers ist möglicherweise falsch geschrieben. Überprüfen Sie die URL und die Schreibweise.
FILE_FAILED	Es wurde eine Verbindung zur Quelle hergestellt. Es gab jedoch ein Problem mit der Datei oder Ressource.	Prüfen Sie Folgendes: Die Datei ist nicht beschädigt. Die Berechtigungen auf Dateiebene sind korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
FILE_NOT_FOUND	Es wurde eine Verbindung zur Quelle hergestellt, aber die Datei oder Ressource wurde nicht gefunden.	Prüfen Sie Folgendes: Die Datei ist in der Quelle vorhanden. Die entsprechenden Nutzer haben Zugriff auf die Datei. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
GATEWAY_ERROR	Die API hat einen Gateway-Fehler an den Aufruf von Google Security Operations zurückgegeben.	Prüfen Sie die Quellendetails des Feeds. Die Anwendung wiederholt die Anfrage.
INTERNAL_ERROR	Aufgrund eines internen Fehlers können keine Daten aufgenommen werden.	Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
INVALID_ARGUMENT	Es wurde eine Verbindung zur Quelle hergestellt, aber der Feed ist aufgrund ungültiger Argumente fehlgeschlagen.	Überprüfen Sie die Feedkonfiguration. Weitere Informationen zum Einrichten von Feeds finden Sie in der Dokumentation zu Feeds. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
INVALID_FEED_CONFIG	Die Feedkonfiguration enthält ungültige Werte.	Überprüfen Sie die Feedkonfiguration auf falsche Einstellungen. Die korrekte Syntax finden Sie in der Dokumentation zu Feeds.
INVALID_REMOTE_RESPONSE	Es wurde eine Verbindung zur Quelle hergestellt, die Antwort war jedoch falsch.	Überprüfen Sie die Feedkonfiguration. Weitere Informationen zum Einrichten von Feeds. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
LOGIN_FAILED	Es wurde eine Verbindung zur Quelle hergestellt, aber die Anmeldedaten waren falsch oder fehlten.	Geben Sie die Anmeldedaten für die Quelle noch einmal ein, um zu bestätigen, dass sie korrekt sind.
NO_RESPONSE	Es wurde eine Verbindung zur Quelle hergestellt, aber die Quelle hat nicht geantwortet.	Prüfen Sie, ob die Quelle Anfragen von Google Security Operations unterstützen kann. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
PERMISSION_DENIED	Es wurde eine Verbindung zur Quelle hergestellt. Bei der Autorisierung ist jedoch ein Problem aufgetreten.	Prüfen Sie, ob die erforderlichen Zugriffe und Berechtigungen hinzugefügt wurden.
REMOTE_SERVER_ERROR	Eine Verbindung zur Quelle wurde hergestellt, aber die Quelle hat keine Daten zurückgegeben.	Prüfen Sie, ob die Quelle verfügbar ist und mit Daten antwortet. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
REMOTE_SERVER_REPORTED_BAD_REQUEST	Es wurde eine Verbindung zur Quelle hergestellt, aber die Anfrage hat die Anfrage abgelehnt.	Überprüfen Sie die Feedkonfiguration. Weitere Informationen finden Sie in der Dokumentation zu Feeds. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
SOCKET_READ_TIMEOUT	Es wurde zwar eine Verbindung zur Quelle hergestellt, aber vor dem Abschluss der Datenübertragung kam es zu einer Zeitüberschreitung.	Dieser Fehler ist vorübergehend und die Anwendung wiederholt die Anfrage. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
TOO_MANY_ERRORS	Beim Feed ist eine Zeitüberschreitung aufgetreten, da mehrere Fehler in der Quelle aufgetreten sind.	Wenden Sie sich an den Google Security Operations-Support.
TRANSIENT_INTERNAL_ERROR	Im Feed ist ein vorübergehender interner Fehler aufgetreten.	Dieser Fehler ist vorübergehend und die Anwendung wiederholt die Anfrage. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
UNSAFE_CONNECTION	Die Anwendung konnte keine Verbindung herstellen, da die IP-Adresse eingeschränkt wurde.	Dieser Fehler ist vorübergehend. Google Security Operations versucht, die Anfrage noch einmal zu senden. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
HTTP_400	Der Feed ist aufgrund einer ungültigen Anfrage fehlgeschlagen.	Überprüfen Sie die Feedkonfiguration. Weitere Informationen zum Einrichten von Feeds. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
HTTP_403	Es wurde eine Verbindung zur Quelle hergestellt. Bei der Autorisierung ist jedoch ein Problem aufgetreten.	Prüfen Sie, ob die erforderlichen Zugriffe und Berechtigungen hinzugefügt wurden.
HTTP_404	Es wurde eine Verbindung zur Quelle hergestellt, aber die Datei oder Ressource wurde nicht gefunden.	Prüfen Sie Folgendes: Die Datei ist in der Quelle vorhanden. Die entsprechenden Nutzer haben Zugriff auf die Datei. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
HTTP_429	Beim Feed ist eine Zeitüberschreitung aufgetreten, weil zu viele Versuche gegeben wurden, die Quelle zu erreichen.	Wenden Sie sich an den Google Security Operations-Support.
HTTP_500	Eine Verbindung zur Quelle wurde hergestellt, aber die Quelle hat keine Daten zurückgegeben.	Prüfen Sie, ob die Quelle verfügbar ist und mit Daten antwortet. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
HTTP_502	Im Feed ist ein Gateway-Fehler aufgetreten.	Dieser Fehler ist vorübergehend und die Anwendung wiederholt die Anfrage. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.
HTTP_504	Google Security Operations kann keine Verbindung zur Quell-IP-Adresse und zum Quellport herstellen.	Dieser Fehler ist vorübergehend und die Anwendung wiederholt die Anfrage. Prüfen Sie Folgendes: Die Quelle ist verfügbar. Die Verbindung wird nicht durch eine Firewall blockiert. Die dem Server zugeordnete IP-Adresse ist korrekt. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.