Mengelola parser bawaan

Didukung di:

Google secops SIEM

Dokumen ini memberikan panduan tentang cara mengelola parser dalam Google Security Operations. Dokumen ini menjelaskan cara menangani update pada parser bawaan, membuat ekstensi parser, dan mengontrol akses ke pengelolaan parser.

Apa itu parser?

Di Google Security Operations, parser adalah sekumpulan petunjuk yang mengubah data log mentah dari berbagai sumber ke dalam format Model Data Terpadu (UDM). Menormalkan log mentah ke dalam UDM sangat penting karena memungkinkan Google SecOps menganalisis, menelusuri, dan mengorelasikan peristiwa keamanan secara efektif di seluruh data yang Anda muat, terlepas dari format log aslinya. Untuk mengetahui ringkasan umum tentang penguraian log, lihat Ringkasan penguraian log.

Mengapa parser diperlukan?

Parser sangat penting untuk membuat data keamanan Anda dapat digunakan dalam Google SecOps. Tanpa penguraian yang tepat, log mentah akan tetap tidak terstruktur dan tidak dapat ditelusuri secara efektif, dikorelasikan dengan peristiwa keamanan lainnya, atau digunakan oleh aturan deteksi. Proses normalisasi memperkaya data mentah, memetakan kolom kunci ke dalam skema standar yang mendukung kemampuan analisis Google SecOps.

Parser mana yang muncul di platform?

Halaman Parser di platform Google SecOps hanya menampilkan parser bawaan untuk jenis log yang datanya sudah Anda muat. Jika Anda belum memuat log untuk jenis log tertentu, parser bawaan yang sesuai tidak akan muncul di platform.

Misalnya, jenis log seperti UDM (dimuat menggunakan udmevents API atau tanpa log mentah) dan log Mandiant tertentu (dimuat menggunakan CreateEntities API) tidak memerlukan atau memiliki parser terkait karena sudah dalam format terstruktur. Oleh karena itu, log ini tidak akan tercantum di halaman Parser.

Untuk melihat parser bawaan di platform, pastikan Anda telah berhasil memuat data untuk jenis log tertentu tersebut.

Dokumen ini membahas aspek utama pengelolaan parser berikut:

• Mengelola update parser bawaan
• Mengelola versi parser bawaan
• Membuat ekstensi
• Mengontrol akses ke pengelolaan parser

Catatan: Hanya karakter UTF-8 yang didukung dalam pemetaan kolom UDM. Penggunaan encoding lain dapat menyebabkan kegagalan penguraian dan membuat log tidak dapat ditelusuri.

Jenis parser

Memahami jenis parser dan fungsinya:

Jenis parser	Deskripsi
Bawaan	Parser yang dibuat oleh Google SecOps yang menyertakan pemetaan bawaan untuk mengubah data log asli menjadi kolom UDM.
Bawaan diperluas	Parser bawaan yang dibuat oleh pelanggan dengan petunjuk pemetaan tambahan untuk mengekstrak data tambahan data dari log mentah asli dan memasukkannya ke dalam data UDM.
Kustom	Parser yang tidak bawaan dan memiliki petunjuk pemetaan data kustom untuk mengubah data log asli menjadi kolom UDM. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi parser kustom.
Kustom diperluas	Parser kustom dengan petunjuk pemetaan tambahan yang menggunakan ekstensi parser untuk mengekstrak data tambahan dari log mentah asli dan memasukkannya ke dalam data UDM.

Mengelola update parser bawaan

Google SecOps biasanya mengupdate parser bawaannya selama minggu keempat setiap bulan. Update ini pertama-tama disediakan untuk pelanggan untuk akses awal dan pengujian. Saat update parser mendatang tersedia, update tersebut akan ditandai sebagai update Tertunda dalam daftar parser. Anda dapat memeriksa perbedaan antara versi parser yang lebih lama dan yang lebih baru, atau mengaktifkan update parser lebih awal untuk mengujinya, atau melewati update dan membuat parser kustom.

Penting: Fitur ini mengharuskan update parser otomatis aktif. Untuk mengaktifkan setelan ini, lihat Mengaktifkan dan menonaktifkan update parser otomatis.

Untuk melihat update yang tertunda, lakukan hal berikut:

1. Login ke instance Google SecOps Anda.

2. Pilih Setelan > Setelan SIEM > Parser.

3. Klik Filter.

4. Pilih Bawaan, Aktif, dan Bawaan Diperluas dari daftar.

   Daftar parser bawaan yang aktif (default) akan ditampilkan. Update parser mendatang ditandai sebagai Tertunda di kolom Update.

5. Klik Menu , lalu pilih Lihat update tertunda dari daftar.

   Halaman Bandingkan parser akan muncul. Di sini, Anda dapat melihat hal berikut:

   • Perbedaan kode antara versi parser saat ini dan mendatang

   • Menganalisis dampak versi parser mendatang pada aturan deteksi Anda

   • Log perubahan di tab Log perubahan

   • Peristiwa UDM yang dihasilkan untuk log mentah yang diambil sampelnya

     Catatan: Sampel yang ditampilkan bersifat acak dan mungkin tidak menampilkan semua kolom yang diubah. Anda dapat mengubah sampel log dengan mengklik Edit dan memasukkan sampel Anda sendiri. Kemudian, klik Muat Ulang untuk memperbarui.

   • Tanggal dan waktu parser dibuat

   • Tanggal dan waktu kode parser terakhir diperbarui

   Anda dapat mengaktifkan update parser lebih awal, melewati update dan membuat parser kustom, atau menunggu update diterapkan secara otomatis selama minggu keempat bulan tersebut.

Mengaktifkan update parser lebih awal

Fitur pengelolaan parser memungkinkan Anda mengaktifkan update parser lebih awal. Misalnya, jika Anda ingin mengujinya.

Untuk mengaktifkan update parser lebih awal, ikuti langkah-langkah berikut:

1. Di halaman Bandingkan parser, klik Aktifkan update parser.

   Dialog Konfirmasi update parser akan muncul.

2. Klik Konfirmasi.

   Parser akan diaktifkan untuk proses normalisasi setelah 20 menit.

   Catatan: Versi parser ini akan tetap aktif hingga siklus rilis berikutnya.

Melewati update parser bawaan

Untuk melewati update parser bawaan saat ini dan mendatang, buat parser kustom sebagai berikut:

1. Di halaman Bandingkan parser, klik Lewati update.

   Jendela Lewati update dan buat parser kustom akan muncul.

2. Klik Buat parser kustom.

3. Untuk Jenis parser yang akan digunakan, pilih Parser Bawaan saat ini, atau Update Parser Tertunda.

4. Klik Buat.

   Catatan: Jika parser kustom sudah ada untuk sumber log ini, Anda tidak dapat membuat parser kustom lainnya. Pesan berikut akan ditampilkan, Parser kustom sudah ada untuk sumber log ini.

   Versi yang dipilih akan diaktifkan untuk proses normalisasi setelah 20 menit. Versi tersebut akan muncul sebagai Kustom dan Aktif dalam daftar parser di halaman Parser. Versi bawaan yang lebih lama akan muncul sebagai Bawaan dan Tidak Aktif.

   Catatan:Semua update parser bawaan mendatang akan tetap terlihat, tetapi tidak akan diterapkan kecuali jika Anda menonaktifkan parser kustom dan kembali ke versi bawaan.

Mengembalikan update awal parser bawaan

Jika Anda mengaktifkan update parser lebih awal, Anda masih dapat kembali ke versi sebelumnya hingga minggu keempat bulan tersebut, saat update diaktifkan secara otomatis.

Untuk beralih kembali ke versi parser sebelumnya, ikuti langkah-langkah berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu di samping parser yang ingin Anda kembalikan.

3. Klik Lihat.

   Halaman Lihat parser bawaan akan muncul.

4. Klik Kembali ke versi sebelumnya.

   Dialog Kembali ke versi sebelumnya akan muncul. Anda dapat mengklik Bandingkan Parser di dialog untuk melihat perbedaan antara versi saat ini dan sebelumnya.

5. Klik Konfirmasi untuk mengembalikan parser ke versi sebelumnya.

   Parser akan dikembalikan ke versi sebelumnya setelah 20 menit.

Menganalisis dampak versi parser mendatang

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Catatan: Fitur ini tidak tersedia untuk semua pelanggan di semua wilayah.

Pemeriksaan dampak memungkinkan Anda menilai potensi dampak versi parser mendatang pada aturan deteksi sebelum menerapkan perubahan. Untuk aturan yang terpengaruh secara negatif, Anda dapat mengikuti link untuk menyelidiki dan memperbarui aturan Anda sebagaimana mestinya.

Untuk aturan satu peristiwa, analisis akan memeriksa deteksi yang dihasilkan aturan deteksi Anda selama 30 hari terakhir. Analisis ini menjalankan versi parser saat ini dan mendatang pada peristiwa yang sesuai dengan deteksi tersebut. Proses ini membuat ulang deteksi untuk memeriksa ketidakcocokan.

Untuk aturan multi-peristiwa, analisis menggunakan sampel peristiwa Anda, bukan semua peristiwa, untuk melakukan analisis heuristik. Jika peristiwa tidak cocok, analisis ini akan menandai hasilnya sebagai Berpotensi gagal.

Untuk menjalankan analisis dampak versi parser mendatang pada aturan deteksi Anda, lakukan hal berikut:

1. Di Konsol Google SecOps, buka Setelan > Setelan SIEM > Parser.
2. Pilih Jenis log tertentu (parser bawaan).
3. Pilih salah satu opsi update parser: Update ke versi terbaru, Rollback ke versi terakhir yang digunakan, atau Aktifkan Pratinjau Rilis.
4. Buka tab Dampak parser, lalu klik Periksa dampak pada aturan. Pemeriksaan dampak mungkin memerlukan waktu beberapa saat hingga selesai.

5. Setelah selesai, sistem akan menampilkan hal berikut:

   • Metadata parser dan daftar aturan yang terpengaruh oleh versi baru, yang menjelaskan jenis aturan dan kolom UDM yang menunjukkan perbedaan.

   • Sistem mengategorikan aturan yang terpengaruh secara negatif sebagai berikut:

     • Gagal: Parser baru tidak memunculkan deteksi, tetapi parser saat ini memunculkan deteksi.
     • Berpotensi gagal: Aturan (termasuk multi-peristiwa) yang kolom UDM dalam logika aturannya telah berubah. Anda harus menyelidiki aturan ini lebih lanjut.

   Untuk setiap aturan ini, ikuti link ke editor aturan untuk menyelidiki dan mengedit aturan agar berfungsi dengan versi parser baru.

Mengelola versi parser bawaan

Google SecOps menyediakan dan memelihara parser bawaan untuk memastikan log Anda diuraikan dengan benar. Anda dapat mengontrol cara versi parser baru diterapkan di lingkungan Anda untuk memenuhi kebutuhan organisasi Anda.

Bagian ini menjelaskan siklus proses pengelolaan versi parser lengkap di Google SecOps. Hal ini mencakup mengaktifkan dan menonaktifkan update otomatis, membandingkan logika antarversi, mengupdate secara manual ke versi baru, dan melakukan rollback ke versi sebelumnya.

Catatan: Anda dapat melihat pratinjau parser bawaan Google untuk menguji versi baru. Namun, Anda tidak dapat menggunakan alat pratinjau untuk menguji parser bawaan yang diupdate saat Anda menjalankan parser kustom yang aktif. Anda harus menonaktifkan parser kustom dan kembali menggunakan parser bawaan.

Mengaktifkan dan menonaktifkan update parser otomatis

Jika Anda menonaktifkan update otomatis, parser akan tetap menggunakan versi saat ini hingga Anda mengaktifkan update otomatis atau mengupdatenya secara manual. Untuk menonaktifkan update otomatis, lakukan hal berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser bawaan yang diperlukan.

3. Klik Nonaktifkan update otomatis.

Jika update otomatis diaktifkan, parser akan diupdate dengan setiap rilis stabil baru. Untuk mengaktifkan update otomatis, lakukan hal berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser bawaan yang diperlukan.

3. Klik Aktifkan update otomatis.

Penting: Untuk mengaktifkan parser pratinjau, update otomatis harus aktif dan parser harus menggunakan versi terbaru. Menonaktifkan update akan menghapus opsi pratinjau dan memulihkan versi stabil terakhir yang digunakan untuk jenis log tersebut.

Mengupdate versi parser secara manual

Jika update otomatis dinonaktifkan, Anda dapat memilih kapan akan mengupdate parser ke versi baru. Hal ini memungkinkan Anda meninjau perubahan sebelum menerapkannya.

Catatan: Anda hanya dapat mengupgrade ke versi parser terbaru, bukan versi di antaranya. Untuk mengupdate parser, lakukan hal berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser yang diperlukan.

3. Pilih Update ke versi terbaru.

   Halaman Bandingkan parser akan muncul. Anda dapat melihat hal berikut:

   • Perbedaan kode antara versi parser saat ini dan baru.

   • Tab Log perubahan, yang meringkas perubahan.

   • Output UDM untuk log mentah yang diambil sampelnya. Untuk menguji output terhadap log lain, klik Edit untuk mengedit log mentah yang diambil sampelnya.

   • Tanggal dan waktu kode parser terakhir diperbarui.

4. Klik Update parser untuk mengupdatenya ke versi terbaru.

Melakukan rollback versi parser

Anda dapat mengembalikan parser ke versi yang terakhir Anda gunakan, terlepas dari status update otomatisnya. Untuk melakukan rollback versi parser, lakukan hal berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser yang diperlukan.

3. Pilih Rollback ke versi terakhir yang digunakan.

   Halaman Bandingkan parser akan muncul. Anda dapat melihat hal berikut:

   • Perbedaan kode antara versi parser saat ini dan terakhir yang digunakan.

   • Tab Log perubahan, yang menampilkan perubahan.

   • Output UDM untuk log mentah yang diambil sampelnya. Untuk menguji output terhadap log lain, klik Edit untuk mengedit log mentah yang diambil sampelnya.

   • Tanggal dan waktu kode parser terakhir diperbarui.

4. Klik Lanjutkan untuk melakukan rollback untuk kembali ke versi terakhir yang digunakan.

Parser akan di-rollback ke versi terakhir yang Anda gunakan. Misalnya, jika Anda mengupgrade dari versi 17.0 ke 24.0, melakukan rollback akan mengembalikan Anda ke versi 17.0, bukan 23.0.

Anda hanya dapat melakukan satu rollback berturut-turut. Setelah Anda melakukan rollback, opsi Rollback tidak lagi tersedia.

Catatan: Update parser memerlukan waktu sekitar 30 menit. Selama waktu ini, Anda mungkin mengalami ketidakkonsistenan sementara dalam penguraian peristiwa.

Kebijakan dukungan untuk versi parser sebelumnya

Hanya versi stabil terbaru dari parser bawaan yang menerima perbaikan bug dan peningkatan. Jika Anda menonaktifkan update otomatis dan tetap menggunakan versi parser yang lebih lama, versi tersebut tidak akan menerima patch atau update. Jika Anda melaporkan masalah dengan versi yang lebih lama ini, rilis stabil berikutnya akan menyertakan perbaikan. Anda harus mengupgrade parser secara manual ke versi stabil terbaru untuk menerima perbaikan.

Membuat ekstensi

Ekstensi parser memberikan cara yang fleksibel untuk memperluas kemampuan parser bawaan (default) yang ada. Ekstensi ini tidak menggantikan parser bawaan. Namun, ekstensi ini memungkinkan ekstraksi kolom tambahan yang lancar dari log mentah asli ke dalam data UDM. Ekstensi parser berbeda dengan parser kustom.

Untuk membuat ekstensi parser, lihat Menggunakan ekstensi parser.

Mengontrol akses ke pengelolaan parser

Secara default, pengguna dengan peran Administrator dan Editor dapat mengelola update parser. Izin baru dapat diberikan untuk mengontrol siapa yang dapat melihat dan mengelola update ini.

Untuk mengetahui informasi selengkapnya tentang cara mengelola pengguna dan grup, atau menetapkan peran, lihat panduan pengguna kontrol akses berbasis peran.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.