Configurar analisadores personalizados

Compatível com:

Este documento fornece orientações sobre como criar analisadores personalizados para casos em que um analisador pré-criado não está disponível ou quando você quer mais controle. Os analisadores personalizados aparecem na lista de analisadores, ao lado dos analisadores pré-criados.

Os casos de uso comuns incluem:

Limitações e operações incompatíveis

Ao criar e gerenciar analisadores personalizados, considere os seguintes limites operacionais:

  • Sintaxe do analisador versus regras de detecção do YARA-L: os analisadores de ingestão e as extensões de analisador usam o Logstash Grok e a sintaxe de configuração com filtros (por exemplo, grok, mutate, json, date e base64) no momento da ingestão para analisar registros brutos no modelo de dados unificado (UDM). Os analisadores não podem usar a sintaxe YARA-L, blocos de resultados ou funções geradoras (como yield). O YARA-L 2.0 é estritamente uma linguagem de consulta de mecanismo de detecção avaliada em downstream em eventos UDM normalizados para alertas de ameaças e não pode analisar registros brutos, alterar campos UDM ou descartar o tráfego de registros recebidos.
  • Modelo de ingestão 1:1: os analisadores personalizados do Google SecOps operam estritamente em uma relação 1:1. Os analisadores personalizados não podem desagrupar, repetir ou dividir uma única entrada de registro que contenha vários eventos incorporados (como matrizes JSON ou strings concatenadas) em eventos de UDM separados. É necessário dividir os payloads de vários eventos antes da ingestão usando pipelines de coleta de registros, como o BindPlane OP, o OpenTelemetry Collector, o Fluent Bit ou uma função do Cloud Run de pré-ingestão.
  • Comportamento do filtro drop {}: o filtro drop {} em um analisador suprime apenas a geração de eventos de UDM. Quando um analisador descarta um registro, o Google SecOps não cria um registro de UDM, e as regras de detecção não podem avaliar o evento. No entanto, o Google SecOps mantém o registro bruto original no repositório bruto imutável para retenção de compliance e auditoria. O registro bruto continua disponível para pesquisa na Pesquisa de Registro Bruto. Para descartar registros antes do armazenamento, configure a filtragem upstream no encaminhador ou coletor.
  • Análise somente para frente por padrão: quando você ativa um analisador personalizado, ele se aplica aos registros recém-ingeridos somente a partir do momento da ativação. Se houver uma necessidade comercial crítica de aplicar mapeamentos de analisador personalizado aos registros históricos, solicite uma tarefa de repetição de registro de back-end. Para mais informações, consulte Analisar novamente os dados históricos (reprodução de registros).

Criar um analisador personalizado com base nas instruções de mapeamento

É possível criar um analisador personalizado escrevendo um código que converte o registro bruto original em um registro de UDM.

Mais informações:

Ao criar um analisador, tente preencher o maior número possível de campos importantes do UDM.

  1. Acesse Configurações > Gerenciamento de dados > Analisadores. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Analisadores.

  2. Clique em Criar analisador.

  3. Selecione uma origem de registro adequada na lista Origem de registro.

  4. Selecione Começar apenas com registros brutos para criar um analisador de acordo com seus requisitos.

  5. Clique em Criar.

  6. Insira o código no Terminal de código do analisador. Para mais informações, consulte Criar uma instrução de mapeamento de snippet de código.

    Observação: verifique se a lógica do analisador personalizado mapeia e produz carimbos de data/hora válidos e atuais. Se um analisador personalizado mapear incorretamente os carimbos de data/hora para uma data fora do período de retenção padrão, os dados serão ingeridos, mas não poderão ser pesquisados na interface do usuário. Como os recursos de pesquisa dependem de carimbos de data/hora de eventos para filtragem, os dados mapeados para uma data incorreta ficam invisíveis, mesmo que a ingestão seja bem-sucedida.

  7. Opcional: clique em Editar para editar o registro bruto ou a cópia.

  8. Opcional: clique em Carregar para carregar o registro bruto mais recente.

  9. Clique em Visualizar para conferir a saída do UDM. Uma mensagem de erro será exibida se o código estiver incorreto.

    Na prévia, é possível usar o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte Validar dados usando o plug-in statedump.

  10. Clique em Validar para validar o analisador personalizado.

    O processo de validação pode levar alguns minutos. Por isso, recomendamos que você visualize o analisador personalizado primeiro, faça as alterações necessárias e, em seguida, valide o analisador personalizado.

  11. Clique em Enviar.

    O analisador é ativado para o processo de normalização após 20 minutos.

Criar um analisador personalizado com base em um analisador atual

Use um analisador atual como modelo para criar um novo analisador personalizado. Esse método oferece suporte apenas à abordagem baseada em código. Para começar, siga estas etapas:

  1. Acesse Configurações > Gerenciamento de dados > Analisadores. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Analisadores.

  2. Clique em Criar analisador.

  3. Selecione uma origem de registro adequada na lista Origem de registro.

  4. Selecione Começar com um analisador pré-criado para usar um analisador atual como base para criar um novo analisador personalizado.

  5. Clique em Criar.

  6. Edite o código no Terminal de código do analisador. Para mais informações, consulte Criar uma instrução de mapeamento de snippet de código.

  7. Opcional: clique em Editar para editar o registro bruto.

  8. Opcional: clique em Atualizar para atualizar o registro bruto.

  9. Ao adicionar código para criar o analisador, clique em Visualizar para ver a saída do UDM. Uma mensagem de erro será exibida se o código estiver incorreto.

    Na prévia, é possível usar o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte Validar dados usando o plug-in statedump.

  10. Clique em Validar para validar o analisador personalizado.

    O processo de validação pode levar alguns minutos. Por isso, recomendamos que você visualize o analisador personalizado primeiro, faça as mudanças necessárias e, em seguida, valide o analisador personalizado.

  11. Clique em Enviar.

    O analisador é ativado para o processo de normalização após 20 minutos.

Desativar um analisador personalizado

  1. Acesse Configurações > Gerenciamento de dados > Analisadores. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Analisadores.

  2. Clique em Menu no analisador que você quer desativar e selecione Desativar na lista.

    A caixa de diálogo Tornar o analisador inativo é exibida.

  3. Clique em Desativar.

O analisador personalizado é desativado, e a versão atual do analisador pré-criado é ativada após 20 minutos. O analisador pré-criado agora se torna o analisador padrão.

Excluir um analisador personalizado

  1. Acesse Configurações > Gerenciamento de dados > Analisadores. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Analisadores.

  2. Clique em Menu no analisador personalizado que você quer excluir e selecione Excluir na lista. Observação: não é possível excluir um analisador pré-criado.

    A caixa de diálogo Excluir analisador personalizado é exibida.

  3. Clique em Excluir.

O analisador personalizado é excluído, e a versão atual do analisador pré-criado é ativada após 20 minutos.

Criar uma extensão

As extensões de analisador oferecem uma maneira flexível de ampliar os recursos dos analisadores personalizados. Eles não substituem os analisadores personalizados. Em vez disso, eles permitem a extração de campos adicionais do registro bruto original para o registro do UDM. Uma extensão de analisador é diferente de um analisador personalizado.

Para criar uma extensão de analisador, consulte Como usar extensões de analisador.

Status da validação

A coluna "Validação" mostra o status do teste de validação do analisador personalizado ou da extensão do analisador.

  • Falha no analisador: falha na validação do analisador personalizado
  • Validação do analisador aprovada: validação do analisador personalizado bem-sucedida
  • Ignorado: o analisador personalizado não foi validado
  • Ignorado para extensão: a extensão do analisador não foi validada

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.