Configura analizadores personalizados
En este documento, se proporciona orientación para crear analizadores personalizados en los casos en que no haya un analizador compilado previamente disponible o cuando quieras tener más control. Los analizadores personalizados aparecen en la lista de analizadores, junto con los precompilados.
Los casos de uso comunes incluyen los siguientes:
Transferir datos de registro para un tipo de registro que no tiene un analizador compilado previamente.
Usa uno de los siguientes métodos:
Crea un analizador personalizado para omitir las actualizaciones del analizador compilado previamente.
Limitaciones y operaciones no admitidas
Cuando crees y administres analizadores personalizados, ten en cuenta los siguientes límites operativos:
- Sintaxis del analizador en comparación con las reglas de detección de YARA-L: Los analizadores de transferencia y las extensiones de analizador usan Logstash Grok y la sintaxis de configuración con filtros (por ejemplo,
grok,mutate,json,dateybase64) en el momento de la transferencia para analizar los registros sin procesar en el modelo de datos unificado (UDM). Los analizadores no pueden usar la sintaxis de YARA-L, los bloques de resultados ni las funciones de generador (comoyield). YARA-L 2.0 es estrictamente un lenguaje de consulta del motor de detección que se evalúa de forma descendente en eventos de UDM normalizados para alertas de amenazas y no puede analizar registros sin procesar, mutar campos de UDM ni descartar el tráfico de registros entrante. - Modelo de transferencia 1:1: Los analizadores personalizados de Google SecOps operan estrictamente en una relación 1:1. Los analizadores personalizados no pueden desagrupar, repetir ni dividir una sola entrada de registro que contenga varios eventos incorporados (como arrays JSON o cadenas concatenadas) en eventos de UDM independientes. Debes dividir las cargas útiles de varios eventos antes de la transferencia con canalizaciones de recopilación de registros, como BindPlane OP, OpenTelemetry Collector, Fluent Bit o una función de Cloud Run previa a la transferencia.
- Comportamiento del filtro
drop {}: El filtrodrop {}en un analizador solo suprime la generación de eventos de UDM. Cuando un analizador descarta un registro, Google SecOps no crea un registro de UDM y las reglas de detección no pueden evaluar el evento. Sin embargo, Google SecOps conserva el registro sin procesar original en el repositorio inmutable sin procesar para la retención de cumplimiento y auditoría. El registro sin procesar se puede buscar a través de la búsqueda de registros sin procesar. Para descartar los registros antes de que se almacenen, configura el filtrado upstream en tu reenviador o recopilador. - Análisis solo hacia adelante de forma predeterminada: Cuando activas un analizador personalizado, se aplica a los registros transferidos recientemente solo desde el momento de la activación. Si existe una necesidad empresarial fundamental de aplicar asignaciones de analizadores personalizados a los registros históricos existentes, puedes solicitar una tarea de reproducción de registros de backend. Para obtener más información, consulta Vuelve a analizar los datos históricos (reproducción de registros).
Crea un analizador personalizado basado en las instrucciones de asignación
Para crear un analizador personalizado, escribe código que convierta el registro sin procesar original en un registro de UDM.
Lecturas adicionales:
- Para obtener más información sobre la estructura de un analizador, consulta Descripción general del análisis de registros.
- Para obtener más información sobre la sintaxis del analizador, consulta Referencia de sintaxis del analizador.
Cuando crees un analizador, intenta completar la mayor cantidad posible de campos importantes de UDM.
Ve a Configuración > Administración de datos > Analizadores. Si estás en una plataforma solo de SIEM, ve a Configuración > Analizadores.
Haz clic en Crear analizador.
Selecciona una fuente de registro adecuada de la lista Fuente de registro.
Selecciona Comenzar solo con registros sin procesar para crear un analizador nuevo según tus requisitos.
Haz clic en Crear.
Ingresa tu código en la terminal de código del analizador. Para obtener más información, consulta Crea una instrucción de asignación de fragmentos de código.
Nota: Asegúrate de que la lógica del analizador personalizado asigne y produzca marcas de tiempo válidas y actuales de forma correcta. Si un analizador personalizado asigna de forma incorrecta las marcas de tiempo a una fecha fuera de tu ventana de retención estándar, los datos se transfieren correctamente, pero no se podrán buscar en la interfaz de usuario. Dado que las funciones de búsqueda se basan en las marcas de tiempo de los eventos para filtrar, la asignación de datos a una fecha incorrecta es invisible, a pesar de que la transferencia se haya realizado correctamente.
Opcional: Haz clic en Editar para editar el registro sin procesar o la copia existentes.
Opcional: Haz clic en Cargar para cargar el registro sin procesar más reciente.
Haz clic en Vista previa para ver el resultado de UDM. Si el código es incorrecto, se mostrará un mensaje de error.
En la vista previa, puedes usar el complemento de filtro statedump para validar el estado interno de un analizador. Para obtener más información, consulta Valida datos con el complemento statedump.
Haz clic en Validar para validar el analizador personalizado.
El proceso de validación puede tardar unos minutos, por lo que te recomendamos que primero obtengas una vista previa del analizador personalizado, realices cambios si es necesario y, luego, valides el analizador personalizado.
Haz clic en Enviar.
El analizador se activa para el proceso de normalización después de 20 minutos.
Crea un analizador personalizado basado en uno existente
Usa un analizador existente como plantilla para crear un analizador personalizado nuevo. Este método solo admite el enfoque basado en código. Para comenzar, sigue estos pasos:
Ve a Configuración > Administración de datos > Analizadores. Si estás en una plataforma solo de SIEM, ve a Configuración > Analizadores.
Haz clic en Crear analizador.
Selecciona una fuente de registro adecuada de la lista Fuente de registro.
Selecciona Comenzar con un analizador predefinido existente para usar un analizador existente como base para crear un analizador personalizado nuevo.
Haz clic en Crear.
Edita tu código en la terminal de código del analizador. Para obtener más información, consulta Crea una instrucción de asignación de fragmentos de código.
Opcional: Haz clic en Editar para editar el registro sin procesar.
Opcional: Haz clic en Actualizar para actualizar el registro sin procesar.
A medida que agregas código para compilar el analizador, haz clic en Vista previa para ver el resultado de UDM. Si el código es incorrecto, se mostrará un mensaje de error.
En la versión preliminar, puedes usar el complemento de filtro statedump para validar el estado interno de un analizador. Para obtener más información, consulta Valida datos con el complemento statedump.
Haz clic en Validar para validar el analizador personalizado.
El proceso de validación puede tardar unos minutos, por lo que te recomendamos que primero obtengas una vista previa del analizador personalizado, realices cambios si es necesario y, luego, lo valides.
Haz clic en Enviar.
El analizador se activa para el proceso de normalización después de 20 minutos.
Inactiva un analizador personalizado
Ve a Configuración > Administración de datos > Analizadores. Si estás en una plataforma solo de SIEM, ve a Configuración > Analizadores.
Haz clic en Menú junto al analizador que deseas desactivar y selecciona Desactivar en la lista.
Aparecerá el cuadro de diálogo Inactivar el analizador.
Haz clic en Inactivar.
El analizador personalizado se desactiva y la versión actual del analizador precompilado se activa después de 20 minutos. El analizador precompilado ahora se convierte en el analizador predeterminado.
Borra un analizador personalizado
Ve a Configuración > Administración de datos > Analizadores. Si estás en una plataforma solo de SIEM, ve a Configuración > Analizadores.
Haz clic en Menú en el analizador personalizado que deseas borrar y selecciona Borrar de la lista. Nota: No puedes borrar un analizador compilado previamente.
Aparecerá el diálogo Borrar analizador personalizado.
Haz clic en Borrar.
El analizador personalizado se borra y la versión actual del analizador precompilado se activa después de 20 minutos.
Crea una extensión
Las extensiones de analizador proporcionan una forma flexible de extender las capacidades de los analizadores personalizados existentes. No reemplazan los analizadores personalizados. En su lugar, permiten la extracción sin problemas de campos adicionales del registro sin procesar original al registro de UDM. Una extensión de analizador es diferente de un analizador personalizado.
Para crear una extensión de analizador, consulta Usa extensiones de analizador.
Estado de validación
En la columna Validación, se muestra el estado de la prueba de validación para el analizador personalizado o para la extensión del analizador.
- Error del analizador: No se pudo validar el analizador personalizado
- Se aprobó la validación del analizador: Se validó correctamente el analizador personalizado
- Se omitió: El analizador personalizado no está validado
- Se omitió para la extensión: No se validó la extensión del analizador
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.