Gestire i parser predefiniti
Questo documento fornisce indicazioni su come gestire i parser in Google Security Operations. Descrive in dettaglio come gestire gli aggiornamenti dei parser predefiniti, creare estensioni del parser e controllare l'accesso alla gestione dei parser.
Che cosa sono i parser?
In Google Security Operations, un parser è un insieme di istruzioni che trasforma i dati dei log non elaborati provenienti da varie origini nel formato UDM (Unified Data Model). La normalizzazione dei log non elaborati in UDM è essenziale perché consente a Google SecOps di analizzare, cercare e correlare efficacemente gli eventi di sicurezza in tutti i dati importati, indipendentemente dal formato del log originale. Per una panoramica generale dell'analisi dei log, consulta Panoramica dell'analisi dei log.
Perché sono necessari i parser?
I parser sono fondamentali per rendere utilizzabili i dati di sicurezza in Google SecOps. Senza un'analisi corretta, i log non elaborati rimangono non strutturati e non possono essere cercati, correlati con altri eventi di sicurezza o utilizzati dalle regole di rilevamento in modo efficace. Il processo di normalizzazione arricchisce i dati non elaborati, mappando i campi chiave in uno schema standardizzato che potenzia le funzionalità di analisi di Google SecOps.
Quali parser vengono visualizzati nella piattaforma?
La pagina Parser della piattaforma Google SecOps mostra solo i parser predefiniti per i tipi di log per i quali hai già importato i dati. Se non hai ancora importato log per un tipo di log specifico, il parser predefinito corrispondente non verrà visualizzato nella piattaforma.
Ad esempio, i tipi di log come UDM (importati utilizzando l'API udmevents o senza log non elaborati) e alcuni log di Mandiant (importati utilizzando l'API CreateEntities) non richiedono o non hanno parser associati perché sono già in un formato strutturato. Di conseguenza, questi non verranno elencati nella pagina Parser.
Per visualizzare un parser predefinito nella piattaforma, assicurati di aver importato correttamente i dati per quel tipo di log specifico.
Questo documento tratta i seguenti aspetti chiave della gestione dei parser:
- Gestire gli aggiornamenti dei parser predefiniti
- Gestire le versioni dei parser predefiniti
- Creare un'estensione
- Controllare l'accesso alla gestione dei parser
Tipi di parser
Informazioni sui tipi di parser e sulle loro funzioni:
| Tipo di parser | Descrizione |
|---|---|
| Predefinita | Parser creati da Google SecOps che includono mapping integrati per trasformare i dati dei log originali in campi UDM. |
| Estesa predefinita | Un parser predefinito creato dai clienti con istruzioni di mapping aggiuntive per estrarre dati aggiuntivi da un log non elaborato originale e inserirli nel record UDM. |
| Personalizzata | Un parser non predefinito con istruzioni di mappatura dei dati personalizzate per trasformare dati dei log originali in campi UDM. Per saperne di più, consulta Configurare i parser personalizzati. |
| Estesa personalizzata | Un parser personalizzato con istruzioni di mapping aggiuntive che utilizza un'estensione del parser per estrarre dati aggiuntivi da un log non elaborato originale e inserirli nel record UDM. |
Gestire gli aggiornamenti dei parser predefiniti
In genere, Google SecOps aggiorna i parser predefiniti durante la quarta settimana di ogni mese. Questi aggiornamenti vengono resi disponibili per i clienti per l'accesso in anteprima e i test. Quando diventano disponibili, gli aggiornamenti dei parser in arrivo vengono contrassegnati come In attesa nella lista dei parser. Puoi esaminare la differenza tra le versioni precedenti e quelle più recenti del parser, attivare in anticipo l'aggiornamento del parser per testarlo oppure saltare l'aggiornamento e creare un parser personalizzato.
Per visualizzare l'aggiornamento in attesa:
Accedi all'istanza Google SecOps.
Seleziona Impostazioni > Impostazioni SIEM > Parser.
Fai clic su Filtra.
Seleziona Predefinita, Attiva e Estesa predefinita dall'elenco.
Viene visualizzato un elenco di parser predefiniti attivi (impostazione predefinita). Gli aggiornamenti dei parser in arrivo sono contrassegnati come In attesa nella colonna Aggiorna.
Fai clic su Menu e seleziona Visualizza aggiornamento in attesa dall'elenco.
Viene visualizzata la pagina Confronta parser. Qui puoi visualizzare quanto segue:
La differenza di codice tra la versione attuale e quella in arrivo del parser
Analizzare l'impatto della versione del parser in arrivo sulle regole di rilevamento
I log delle modifiche nella scheda Log delle modifiche
L'evento UDM generato per il log non elaborato campionato
La data e l'ora di creazione del parser
La data e l'ora dell'ultimo aggiornamento del codice del parser
Puoi attivare in anticipo l'aggiornamento del parser, saltare l'aggiornamento e creare un parser personalizzato oppure attendere che l'aggiornamento venga applicato automaticamente durante la quarta settimana del mese.
Attivare in anticipo l'aggiornamento del parser
La funzionalità di gestione dei parser ti consente di attivare in anticipo l'aggiornamento del parser. Ad esempio, se vuoi testarlo.
Per attivare in anticipo l'aggiornamento del parser:
Nella pagina Confronta parser, fai clic su Attiva aggiornamento parser.
Viene visualizzata la finestra di dialogo Conferma aggiornamento parser.
Fai clic su Conferma.
Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.
Saltare gli aggiornamenti dei parser predefiniti
Per saltare gli aggiornamenti dei parser predefiniti attuali e futuri, crea un parser personalizzato nel seguente modo:
Nella pagina Confronta parser, fai clic su Salta aggiornamento.
Viene visualizzata la finestra Salta aggiornamento e crea parser personalizzato.
Fai clic su Crea parser personalizzato.
In Tipo di parser da cui iniziare, seleziona il parser predefinito corrente o l'aggiornamento del parser in attesa.
Fai clic su Crea.
La versione selezionata viene attivata per il processo di normalizzazione dopo 20 minuti. Viene visualizzata come Personalizzata e Attiva nella lista dei parser nella pagina Parser. La versione predefinita precedente viene visualizzata come Predefinita e Non attiva.
Ripristinare un aggiornamento anticipato del parser predefinito
Se hai attivato in anticipo l'aggiornamento del parser, puoi comunque tornare alla versione precedente fino alla quarta settimana del mese, quando l'aggiornamento viene attivato automaticamente.
Per tornare alla versione precedente del parser:
Dal menu delle applicazioni delle app, seleziona Impostazioni > Parser.
Fai clic su Menu accanto al parser di cui vuoi eseguire il rollback.
Fai clic su Visualizza.
Viene visualizzata la pagina Visualizza parser predefinito.
Fai clic su Torna alla versione precedente.
Viene visualizzata la finestra di dialogo Torna alla versione precedente. Puoi fare clic su Confronta parser nella finestra di dialogo per visualizzare la differenza tra la versione attuale e quella precedente.
Fai clic su Conferma per ripristinare la versione precedente del parser.
Il parser viene ripristinato alla versione precedente dopo 20 minuti.
Analizzare l'impatto della versione del parser in arrivo
Il controllo dell'impatto ti consente di valutare il potenziale impatto della versione del parser in arrivo sulle regole di rilevamento prima di applicare le modifiche. Per le regole interessate negativamente, puoi seguire i link per esaminarle e aggiornarle di conseguenza.
Per le regole di singoli eventi, l'analisi controlla i rilevamenti generati dalle regole di rilevamento negli ultimi 30 giorni. Esegue sia la versione attuale che quella in arrivo del parser sugli eventi corrispondenti a questi rilevamenti. Questo processo rigenera i rilevamenti per verificare la presenza di mancate corrispondenze.
Per le regole multi-evento, l'analisi utilizza un campione degli eventi anziché tutti gli eventi per eseguire un'analisi euristica. Se gli eventi non corrispondono, questa analisi contrassegna il risultato come Potenzialmente in errore.
Per eseguire un'analisi dell'impatto della versione del parser in arrivo sulle regole di rilevamento:
- Nella console Google SecOps, vai a Impostazioni > Impostazioni SIEM > Parser.
- Seleziona un tipo di log specifico (parser predefinito).
- Seleziona una delle opzioni di aggiornamento del parser: Aggiorna all'ultima versione, Esegui il rollback all'ultima versione utilizzata o Attiva una Release Candidate.
- Vai alla scheda Impatto del parser e fai clic su Controlla impatto sulle regole. Il controllo dell'impatto potrebbe richiedere un po' di tempo.
Al termine, il sistema visualizza quanto segue:
- I metadati del parser e un elenco di regole interessate dalla nuova versione, con i dettagli del tipo di regola e dei campi UDM che mostrano le differenze.
Il sistema classifica le regole interessate negativamente nel seguente modo:
- In errore: il nuovo parser non ha generato un rilevamento, ma il parser attuale sì.
- Potenzialmente in errore: regole (incluse quelle multi-evento) in cui i campi UDM nella logica della regola sono stati modificati. Devi esaminare ulteriormente queste regole.
Per ognuna di queste, segui il link all'editor delle regole per esaminare e modificare la regola in modo che funzioni con la nuova versione del parser.
Gestire le versioni dei parser predefiniti
Google SecOps fornisce e gestisce i parser predefiniti per assicurarsi che i log vengano analizzati correttamente. Puoi controllare come vengono applicate le nuove versioni del parser nel tuo ambiente per soddisfare le esigenze della tua organizzazione.
Questa sezione descrive il ciclo di vita completo della gestione delle versioni dei parser in Google SecOps. Include l'attivazione e la disattivazione degli aggiornamenti automatici, il confronto della logica tra le versioni, l'aggiornamento manuale alle nuove versioni e il rollback alle versioni precedenti.
Attivare e disattivare gli aggiornamenti automatici dei parser
Se disattivi gli aggiornamenti automatici, il parser rimane alla versione attuale finché non li riattivi o non lo aggiorni manualmente. Per disattivare gli aggiornamenti automatici:
Dal menu delle applicazioni, seleziona Impostazioni > Parser.
Fai clic su Menu per il parser predefinito richiesto.
Fai clic su Disattiva aggiornamenti automatici.
Quando gli aggiornamenti automatici sono attivati, il parser viene aggiornato a ogni nuova release stabile. Per attivare gli aggiornamenti automatici:
Dal menu delle applicazioni, seleziona Impostazioni > Parser.
Fai clic su Menu per il parser predefinito richiesto.
Fai clic su Attiva aggiornamenti automatici.
Aggiornare manualmente una versione del parser
Se gli aggiornamenti automatici sono disattivati, puoi scegliere quando aggiornare un parser a una nuova versione. In questo modo puoi esaminare le modifiche prima di applicarle.
Dal menu delle applicazioni, seleziona Impostazioni > Parser.
Fai clic su Menu per il parser richiesto.
Seleziona Aggiorna all'ultima versione.
Viene visualizzata la pagina Confronta parser. Puoi visualizzare quanto segue:
La differenza di codice tra la versione attuale e quella nuova del parser.
La scheda Log delle modifiche, che riepiloga le modifiche.
L'output UDM per il log non elaborato campionato. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.
La data e l'ora dell'ultimo aggiornamento del codice del parser.
Fai clic su Aggiorna parser per aggiornarlo all'ultima versione.
Eseguire il rollback di una versione del parser
Puoi ripristinare la versione del parser che hai utilizzato l'ultima volta, indipendentemente dallo stato di aggiornamento automatico. Per eseguire il rollback di una versione del parser:
Dal menu delle applicazioni, seleziona Impostazioni > Parser.
Fai clic su Menu per il parser richiesto.
Seleziona Esegui il rollback all'ultima versione utilizzata.
Viene visualizzata la pagina Confronta parser. Puoi visualizzare quanto segue:
La differenza di codice tra la versione attuale e quella utilizzata l'ultima volta del parser.
La scheda Log delle modifiche, che mostra le modifiche.
L'output UDM per il log non elaborato campionato. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.
La data e l'ora dell'ultimo aggiornamento del codice del parser.
Fai clic su Procedi con il rollback per tornare all'ultima versione utilizzata.
Il parser esegue il rollback all'ultima versione che hai utilizzato. Ad esempio, se hai eseguito l'upgrade dalla versione 17.0 alla 24.0, il rollback ti riporterà alla versione 17.0, non alla 23.0.
Puoi eseguire un solo rollback consecutivo. Dopo aver eseguito un rollback, l'opzione Esegui il rollback non è più disponibile.
Norme di assistenza per le versioni precedenti del parser
Solo l'ultima versione stabile di un parser predefinito riceve correzioni di bug e miglioramenti. Se disattivi gli aggiornamenti automatici e rimani a una versione precedente del parser, questa versione non riceve patch o aggiornamenti. Se segnali problemi con questa versione precedente, la prossima release stabile include la correzione. Per ricevere la correzione, devi eseguire manualmente l'upgrade del parser all'ultima versione stabile.
Creare un'estensione
Le estensioni del parser forniscono un modo flessibile per estendere le funzionalità dei parser predefiniti (impostazione predefinita) esistenti. Non sostituiscono i parser predefiniti. Consentono invece l'estrazione senza interruzioni di campi aggiuntivi dal log non elaborato originale nel record UDM. Un'estensione del parser è diversa da un parser personalizzato.
Per creare un'estensione del parser, consulta Utilizzare le estensioni del parser.
Controllare l'accesso alla gestione dei parser
Per impostazione predefinita, gli utenti con i ruoli Amministratore ed Editor possono gestire gli aggiornamenti dei parser. È possibile concedere nuove autorizzazioni per controllare chi può visualizzare e gestire questi aggiornamenti.
Per saperne di più sulla gestione di utenti e gruppi o sull'assegnazione di ruoli, consulta la guida per l'utente del controllo dell'accesso basato sui ruoli.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.