Configurar analisadores personalizados

Compatível com:

Este documento fornece orientações sobre como criar analisadores personalizados para casos em que um analisador pré-criado não está disponível ou quando você quer mais controle. Os analisadores personalizados aparecem na lista de analisadores, ao lado dos predefinidos.

Os casos de uso comuns incluem:

Limitações e operações incompatíveis

Ao criar e gerenciar analisadores personalizados, considere os seguintes limites operacionais:

  • Sintaxe do analisador x regras de detecção da YARA-L: os analisadores de ingestão e as extensões de analisador usam a sintaxe de configuração e o Grok do Logstash com filtros (por exemplo, grok, mutate, json, date e base64) no momento da ingestão para analisar os registros brutos no modelo de dados unificado (UDM). Os analisadores não podem usar a sintaxe YARA-L, blocos de resultados ou funções geradoras (como yield). A YARA-L 2.0 é estritamente uma linguagem de consulta do mecanismo de detecção avaliada posteriormente em eventos UDM normalizados para alertas de ameaças. Ela não pode analisar registros brutos, alterar campos UDM ou descartar o tráfego de registros recebidos.
  • Modelo de ingestão 1:1: os analisadores personalizados do Google SecOps operam estritamente em uma relação 1:1. Os analisadores personalizados não podem desagrupar, fazer loops ou dividir uma única entrada de registro que contenha vários eventos incorporados (como matrizes JSON ou strings concatenadas) em eventos separados da UDM. É necessário dividir payloads de vários eventos antes da ingestão usando pipelines de coleta de registros, como BindPlane OP, OpenTelemetry Collector, Fluent Bit ou uma função do Cloud Run de pré-ingestão.
  • Comportamento do filtro drop {}: o filtro drop {} em um analisador suprime apenas a geração de eventos do UDM. Quando um analisador descarta um registro, o Google SecOps não cria um registro UDM, e as regras de detecção não podem avaliar o evento. No entanto, o Google SecOps retém o registro bruto original no repositório bruto imutável para conformidade e retenção de auditoria. O registro bruto continua pesquisável na Pesquisa de registro bruto. Para descartar registros antes do armazenamento, configure a filtragem upstream no encaminhador ou coletor.
  • Análise somente de encaminhamento por padrão: quando você ativa um analisador personalizado, ele é aplicado apenas aos registros ingeridos recentemente a partir do momento da ativação. Se houver uma necessidade comercial crítica de aplicar mapeamentos de analisadores personalizados a registros históricos, solicite uma tarefa de repetição de registros do back-end. Para mais informações, consulte Reanalisar dados históricos (reprodução de registros).

Criar um analisador personalizado com base em instruções de mapeamento

É possível criar um analisador personalizado escrevendo um código que converte o registro de log bruto original em um registro da UDM.

Mais informações:

Ao criar um analisador, tente preencher o máximo possível de campos importantes do UDM.

  1. Acesse Configurações.

  2. Acesse Configurações do SIEM.

  3. Clique em Criar analisador.

  4. Selecione uma origem do registro adequada na lista Origem do registro.

  5. Selecione Começar apenas com registros brutos para criar um novo analisador de acordo com seus requisitos.

  6. Clique em Criar.

  7. Insira seu código no Terminal de código do analisador. Para mais informações, consulte Criar uma instrução de mapeamento de snippet de código.

    Observação:verifique se a lógica do seu analisador personalizado mapeia e produz carimbos de data/hora válidos e atuais. Se um analisador personalizado mapear incorretamente os carimbos de data/hora para uma data fora do período de retenção padrão, os dados serão ingeridos, mas não poderão ser pesquisados na interface do usuário. Como os recursos de pesquisa dependem de carimbos de data/hora de eventos para filtragem, os dados mapeados para uma data incorreta ficam invisíveis, apesar da ingestão bem-sucedida.

  8. Opcional: clique em Editar para editar o registro bruto ou a cópia.

  9. Opcional: clique em Carregar para carregar o registro bruto mais recente.

  10. Clique em Visualizar para conferir a saída da UDM. Uma mensagem de erro será exibida se o código estiver incorreto.

    Na prévia, você pode usar o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte Validar dados usando o plug-in statedump.

  11. Clique em Validar para validar o analisador personalizado.

    O processo de validação pode levar alguns minutos. Recomendamos que você primeiro visualize o analisador personalizado, faça mudanças se necessário e depois valide o analisador personalizado.

  12. Clique em Enviar.

    O analisador é ativado para o processo de normalização após 20 minutos.

Criar um analisador personalizado com base em um analisador atual

Use um analisador atual como modelo para criar um novo analisador personalizado. Esse método aceita apenas a abordagem baseada em código. Para começar, siga estas etapas:

  1. No menu de aplicativos , selecione Configurações > Analistas.

  2. Clique em Criar analisador.

  3. Selecione uma origem do registro adequada na lista Origem do registro.

  4. Selecione Começar com um analisador pré-criado para usar um analisador como base e criar um novo analisador personalizado.

  5. Clique em Criar.

  6. Edite o código no terminal de código do analisador. Para mais informações, consulte Criar uma instrução de mapeamento de snippet de código.

  7. Opcional: clique em Editar para editar o registro bruto.

  8. Opcional: clique em Atualizar para atualizar o registro bruto.

  9. À medida que você adiciona código para criar o analisador, clique em Prévia para conferir a saída do UDM. Uma mensagem de erro será exibida se o código estiver incorreto.

    Na prévia, use o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte Validar dados usando o plug-in statedump.

  10. Clique em Validar para validar o analisador personalizado.

    O processo de validação pode levar alguns minutos. Por isso, recomendamos que você primeiro visualize o analisador personalizado, faça as mudanças necessárias e depois valide o analisador.

  11. Clique em Enviar.

    O analisador é ativado para o processo de normalização após 20 minutos.

Desativar um analisador personalizado

  1. No menu de aplicativos , selecione Configurações > Analistas.

  2. Clique em Menu ao lado do analisador que você quer desativar e selecione Desativar na lista.

    A caixa de diálogo Desativar analisador aparece.

  3. Clique em Desativar.

O analisador personalizado é desativado e a versão atual do analisador pré-criado é ativada após 20 minutos. O analisador pré-criado agora é o padrão.

Excluir um analisador personalizado

  1. No menu de aplicativos , selecione Configurações > Analistas.

  2. Clique em Menu ao lado do analisador personalizado que você quer excluir e selecione Excluir na lista. Observação: não é possível excluir um analisador sintático pré-criado.

    A caixa de diálogo Excluir analisador personalizado vai aparecer.

  3. Clique em Excluir.

O analisador personalizado é excluído e a versão atual do analisador desenvolvido previamente é ativada após 20 minutos.

Criar uma extensão

As extensões de analisador oferecem uma maneira flexível de ampliar os recursos dos analisadores personalizados atuais. Eles não substituem os analisadores personalizados. Em vez disso, eles permitem a extração perfeita de outros campos do registro bruto original para o registro da UDM. Uma extensão de analisador é diferente de um analisador personalizado.

Para criar uma extensão de analisador, consulte Usar extensões de analisador.

Status da validação

A coluna "Validação" mostra o status do teste de validação para o analisador personalizado ou para a extensão do analisador.

  • Falha no analisador: falha na validação do analisador personalizado
  • Validação do analisador aprovada: validação personalizada do analisador concluída
  • Ignorado: o analisador personalizado não foi validado
  • Ignorado para extensão: a extensão do analisador não foi validada

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.