Configurare parser personalizzati
Questo documento fornisce indicazioni su come creare parser personalizzati per i casi in cui non è disponibile un parser predefinito o quando vuoi un maggiore controllo. I parser personalizzati vengono visualizzati nell'elenco dei parser, insieme a quelli predefiniti.
I casi d'uso comuni includono:
Importazione dei dati di log per un tipo di log che non dispone di un parser predefinito.
Utilizza uno dei seguenti metodi:
Crea un parser personalizzato per ignorare gli aggiornamenti del parser predefinito.
Crea un parser personalizzato basato sulle istruzioni di mapping
Puoi creare un parser personalizzato scrivendo codice che converte il log non elaborato originale in un record UDM.
Letture aggiuntive:
- Per saperne di più sulla struttura di un parser, consulta Panoramica dell'analisi dei log.
- Per saperne di più sulla sintassi del parser, consulta Riferimento alla sintassi del parser.
Quando crei un parser, cerca di compilare il maggior numero possibile di campi UDM importanti.
Vai a Impostazioni.
Vai a Impostazioni SIEM.
Fai clic su Crea parser.
Seleziona un'origine log appropriata dall'elenco Origine log.
Seleziona Inizia solo con log non elaborati per creare un nuovo parser in base ai tuoi requisiti.
Fai clic su Crea.
Inserisci il codice nel terminale del codice del parser. Per saperne di più, vedi Creare un'istruzione di mappatura degli snippet di codice.
Nota:assicurati che la logica del parser personalizzato mappi e produca correttamente timestamp validi e aggiornati. Se un parser personalizzato mappa in modo errato i timestamp a una data al di fuori della finestra di conservazione standard, i dati vengono inseriti correttamente, ma rimarranno non ricercabili nell'interfaccia utente. Poiché le funzionalità di ricerca si basano sui timestamp degli eventi per il filtraggio, i dati mappati su una data errata sono effettivamente invisibili nonostante l'importazione sia riuscita.
(Facoltativo) Fai clic su Modifica per modificare il log grezzo o la copia esistente.
(Facoltativo) Fai clic su Carica per caricare l'ultimo log non elaborato.
Fai clic su Anteprima per visualizzare l'output UDM. Se il codice non è corretto, viene visualizzato un messaggio di errore.
Nell'anteprima, puoi utilizzare il plug-in di filtro statedump per convalidare lo stato interno di un parser. Per saperne di più, consulta Convalidare i dati utilizzando il plug-in statedump.
Fai clic su Convalida per convalidare il parser personalizzato.
La procedura di convalida potrebbe richiedere alcuni minuti, pertanto ti consigliamo di visualizzare l'anteprima del parser personalizzato, apportare le modifiche necessarie e poi convalidare il parser personalizzato.
Fai clic su Invia.
Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.
Creare un parser personalizzato basato su un parser esistente
Utilizza un parser esistente come modello per creare un nuovo parser personalizzato. Questo metodo supporta solo l'approccio basato su codice. Per iniziare:
Dal menu Applicazione, seleziona Impostazioni > Parser.
Fai clic su Crea parser.
Seleziona un'origine log appropriata dall'elenco Origine log.
Seleziona Inizia con un parser predefinito esistente per utilizzare un parser esistente come base per creare un nuovo parser personalizzato.
Fai clic su Crea.
Modifica il codice nel terminale del codice del parser. Per saperne di più, vedi Creare un'istruzione di mappatura degli snippet di codice.
(Facoltativo) Fai clic su Modifica per modificare il log non elaborato.
(Facoltativo) Fai clic su Aggiorna per aggiornare il log non elaborato.
Man mano che aggiungi codice per creare il parser, fai clic su Anteprima per visualizzare l'output UDM. Se il codice non è corretto, viene visualizzato un messaggio di errore.
Nell'anteprima, puoi utilizzare il plug-in di filtro statedump per convalidare lo stato interno di un parser. Per saperne di più, consulta Convalidare i dati utilizzando il plug-in statedump.
Fai clic su Convalida per convalidare il parser personalizzato.
La procedura di convalida potrebbe richiedere alcuni minuti, pertanto ti consigliamo di visualizzare prima l'anteprima del parser personalizzato, apportare le modifiche necessarie e poi convalidarlo.
Fai clic su Invia.
Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.
Rendere non attivo un parser personalizzato
Dal menu Applicazione, seleziona Impostazioni > Parser.
Fai clic su Menu accanto al parser che vuoi disattivare e seleziona Disattiva dall'elenco.
Viene visualizzata la finestra di dialogo Rendi inattivo il parser.
Fai clic su Rendi inattivo.
Il parser personalizzato viene disattivato e la versione attuale del parser predefinito viene attivata dopo 20 minuti. Il parser predefinito diventa ora il parser predefinito.
Eliminare un parser personalizzato
Dal menu Applicazione, seleziona Impostazioni > Parser.
Fai clic su Menu accanto al parser personalizzato che vuoi eliminare e seleziona Elimina dall'elenco. Nota: non puoi eliminare un parser predefinito.
Viene visualizzata la finestra di dialogo Elimina parser personalizzato.
Fai clic su Elimina.
Il parser personalizzato viene eliminato e la versione attuale del parser predefinito viene attivata dopo 20 minuti.
Crea un'estensione
Le estensioni del parser forniscono un modo flessibile per estendere le funzionalità dei parser personalizzati esistenti. Non sostituiscono i parser personalizzati. Consentono invece l'estrazione senza problemi di campi aggiuntivi dal log non elaborato originale nel record UDM. Un'estensione del parser è diversa da un parser personalizzato.
Per creare un'estensione parser, consulta Utilizzo delle estensioni parser.
Stato di convalida
La colonna Convalida mostra lo stato del test di convalida per il parser personalizzato o per l'estensione del parser.
- Parser non riuscito: convalida del parser personalizzato non riuscita
- Convalida del parser superata: convalida del parser personalizzato riuscita
- Ignorato: il parser personalizzato non è convalidato
- Ignorata per l'estensione: l'estensione del parser non è convalidata
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.