효과적인 위협 감지 및 조사를 위해 Google Security Operations는 구조화된 로그 수집을 사용합니다. 로그 피드를 올바르게 구성하면 관련 데이터가 정규화되고 상관관계, 알림, 분석에 사용할 수 있습니다.
이 문서에서는 Google SecOps 내에서 로그 피드를 설정하고 관리하는 방법을 설명합니다.
로그 유형에 따라 제품군당 여러 피드를 구성할 수 있습니다.
Google에서 기준선으로 식별한 로그 유형은 필수로 표시됩니다.
플랫폼은 설정 안내, 필수 절차, 구성 매개변수 설명을 제공합니다.
일부 매개변수는 구성 프로세스를 간소화하기 위해 사전 정의되어 있습니다.
예를 들어 CrowdStrike Falcon과 같은 제품 내에서 필수 및 선택적 로그 유형 모두에 여러 피드를 만들 수 있습니다.
여러 피드 구성 페이지에 액세스
다중 피드 구성 화면에 액세스하는 방법에는 두 가지가 있습니다.
콘텐츠 허브 > 콘텐츠 팩
설정 > 피드
CrowdStrike EDR용 피드 구성
다음 단계에 따라 CrowdStrike EDR의 로그 피드를 구성합니다.
설정 > 피드에서 새 피드 추가를 클릭합니다.
CrowdStrike Falcon 제품을 클릭합니다.
CrowdStrike EDR 로그 유형을 선택합니다.
또는 콘텐츠 허브 > 콘텐츠 팩에서 CrowdStrike Falcon 제품을 클릭합니다.
시작하기를 클릭합니다.
CrowdStrike EDR 로그 유형을 선택합니다.
다음 필드의 값을 지정합니다.
필드
설명
Source Type
Amazon SQS
Region
URI와 연결된 AWS S3 리전입니다.
Queue Name
읽어올 SQS 큐 이름입니다.
Account Number
SQS 계정 번호입니다.
Source Deletion Option
전송 후 파일과 디렉터리를 삭제할지 여부를 나타냅니다.
Queue Access Key ID
계정의 20자리 영숫자 액세스 키입니다(예: AKIAOSFOODNN7EXAMPLE).
Queue Secret Access Key
계정의 40자리 영숫자 보안 비밀 액세스 키입니다(예: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY).
선택사항: 다음 매개변수를 구성합니다.
피드 이름: 피드의 고유 이름이 자동으로 입력됩니다.
애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
피드 만들기를 클릭합니다.
이 과정을 반복하여 동일한 로그 유형에 대한 피드를 추가로 만들 수 있습니다. 이 페이지에서 사용 가능한 다른 로그 유형의 피드를 직접 구성할 수도 있습니다. 완료되면 피드 관리 페이지로 이동하여 구성된 모든 로그 유형의 세부 요약을 확인합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# Configure feeds by product\n==========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nBefore you begin\n----------------\n\nIf you are using IAM custom roles, you need to do the following:\n\n1. Go to **IAM \\& Admin \\\u003e Roles**.\n2. Select the existing custom role and click **Edit Role**.\n3. Click **Add permissions**.\n4. Enter the following:\n - **chronicle.feedPacks.get**\n - **chronicle.feedPacks.list**\n5. Click **Save**.\n\nConfigure log feeds\n-------------------\n\nTo enable effective threat detection and investigation, Google Security Operations relies on structured log ingestion. Properly configuring log feeds makes sure that relevant data is normalized and made available for correlation, alerting, and analysis.\n\nThis document explains how to set up and manage log feeds within Google SecOps.\nYou can configure multiple feeds per product family according to the log type.\nLog types identified by Google as a baseline, are marked as **required**.\n\nThe platform provides setup instructions, required procedures,\nand explanations of configuration parameters.\nSome parameters are predefined to simplify the configuration process.\nFor example, you can create multiple feeds under both required and optional log types\nwithin a product, such as CrowdStrike Falcon:\n\nAccess the multiple feeds configuration page\n--------------------------------------------\n\nThere are two ways to reach the multiple feeds configuration screen:\n\n- **Content Hub \\\u003e Content Packs**\n- **Settings \\\u003e Feeds**\n\n### Configure the feed for CrowdStrike EDR\n\nFollow these steps to configure a log feed for CrowdStrike EDR.\n\n1. From **Settings \\\u003e Feeds** , click **Add New Feed**\n 1. Click the **CrowdStrike Falcon** product:.\n 2. Select **CrowdStrike EDR** log type.\n2. Alternatively, from **Content Hub \\\u003e Content Packs** , click the **CrowdStrike Falcon** product:\n 1. Click **Get Started**.\n 2. Select **CrowdStrike EDR** log type.\n3. Specify values for the following fields:\n\n \u003cbr /\u003e\n\n4. Optional: Configure the following parameters:\n\n - Feed Name: prepopulated unique name for the feed.\n - Asset namespace: namespace associated with the feed.\n - Ingestion labels: labels applied to the events from this feed.\n5. Click **Create Feed**.\n\nYou can repeat this process to create additional feeds for the same log type. You can also configure feeds for other available log types directly from this page. When finished, go to the **Feed Management** page to view a detailed summary of all configured log types.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
