Gestire i parser predefiniti

Supportato in:

Google secops SIEM

Questo documento fornisce indicazioni su come gestire i parser in Google Security Operations. Descrive in dettaglio come gestire gli aggiornamenti dei parser predefiniti, creare estensioni del parser e controllare l'accesso alla gestione dei parser.

Che cosa sono i parser?

In Google Security Operations, un parser è un insieme di istruzioni che trasforma i dati dei log non elaborati provenienti da varie origini nel formato UDM (Unified Data Model). La normalizzazione dei log non elaborati in UDM è essenziale perché consente a Google SecOps di analizzare, cercare e correlare efficacemente gli eventi di sicurezza in tutti i dati importati, indipendentemente dal formato del log originale. Per una panoramica generale dell'analisi dei log, consulta Panoramica dell'analisi dei log.

Perché sono necessari i parser?

I parser sono fondamentali per rendere utilizzabili i dati di sicurezza in Google SecOps. Senza un'analisi corretta, i log non elaborati rimangono non strutturati e non possono essere cercati, correlati ad altri eventi di sicurezza o utilizzati dalle regole di rilevamento in modo efficace. Il processo di normalizzazione arricchisce i dati non elaborati, mappando i campi chiave in uno schema standardizzato che potenzia le funzionalità di analisi di Google SecOps.

Quali parser vengono visualizzati nella piattaforma?

La pagina Parser della piattaforma Google SecOps mostra i parser predefiniti solo per i tipi di log per i quali hai già importato i dati. Se non hai ancora importato log per un tipo di log specifico, il parser predefinito corrispondente non verrà visualizzato nella piattaforma.

Ad esempio, i tipi di log come UDM (importati utilizzando l'API udmevents o senza log non elaborati) e alcuni log di Mandiant (importati utilizzando l'API CreateEntities) non richiedono o non hanno parser associati perché sono già in un formato strutturato. Di conseguenza, questi non verranno elencati nella pagina Parser.

Per visualizzare un parser predefinito nella piattaforma, assicurati di aver importato correttamente i dati per quel tipo di log specifico.

Questo documento tratta i seguenti aspetti chiave della gestione dei parser:

• Gestire gli aggiornamenti dei parser predefiniti
• Gestire le versioni dei parser predefiniti
• Creare un'estensione
• Controllare l'accesso alla gestione dei parser

Nota: nelle mappature dei campi UDM sono supportati solo i caratteri UTF-8. L'utilizzo di altre codifiche può causare errori di analisi e rendere i log non ricercabili.

Tipi di parser

Informazioni sui tipi di parser e sulle loro funzioni:

Tipo di parser	Descrizione
Predefinita	Parser creati da Google SecOps che includono mappature integrate per trasformare i dati dei log originali in campi UDM.
Estesa predefinita	Un parser predefinito creato dai clienti con istruzioni di mappatura aggiuntive per estrarre dati aggiuntivi dati da un log non elaborato originale e inserirli nel record UDM.
Personalizzata	Un parser non predefinito con istruzioni di mappatura dei dati personalizzate per trasformare i dati dei log originali in campi UDM. Per saperne di più, consulta Configurare i parser personalizzati.
Estesa personalizzata	Un parser personalizzato con istruzioni di mappatura aggiuntive che utilizza un'estensione del parser per estrarre dati aggiuntivi dai log non elaborati originali e inserirli nel record UDM.

Gestire gli aggiornamenti dei parser predefiniti

In genere, Google SecOps aggiorna i parser predefiniti durante la quarta settimana di ogni mese. Questi aggiornamenti vengono resi disponibili per i clienti per l'accesso in anteprima e i test. Quando diventano disponibili, gli aggiornamenti dei parser in programma vengono contrassegnati come In attesa nella lista dei parser. Puoi esaminare la differenza tra le versioni precedenti e quelle più recenti del parser, rendere attivo l'aggiornamento del parser in anticipo per testarlo o saltare l'aggiornamento e creare un parser personalizzato.

Importante: questa funzionalità richiede che gli aggiornamenti automatici dei parser siano attivi. Per attivare questa impostazione, consulta Attivare e disattivare gli aggiornamenti automatici dei parser.

Per visualizzare l'aggiornamento in attesa:

1. Accedi all'istanza Google SecOps.

2. Seleziona Impostazioni > Impostazioni SIEM > Parser.

3. Fai clic su Filtra.

4. Seleziona Predefinita, Attiva e Estesa predefinita dall'elenco.

   Viene visualizzato un elenco di parser predefiniti attivi (impostazione predefinita). Gli aggiornamenti dei parser in programma sono contrassegnati come In attesa nella colonna Aggiorna.

5. Fai clic su Menu e seleziona Visualizza aggiornamento in attesa dall'elenco.

   Viene visualizzata la pagina Confronta parser. Qui puoi visualizzare quanto segue:

   • La differenza di codice tra la versione attuale e quella in programma del parser

   • Analizzare l'impatto della versione del parser in programma sulle regole di rilevamento

   • I log delle modifiche nella scheda Log delle modifiche

   • L'evento UDM generato per il log non elaborato di esempio

     Nota: l'esempio visualizzato è casuale e potrebbe non mostrare tutti i campi modificati. Puoi modificare l'esempio di log facendo clic su Modifica e inserendo il tuo esempio. Poi, fai clic su Aggiorna per aggiornare.

   • La data e l'ora di creazione del parser

   • La data e l'ora dell'ultimo aggiornamento del codice del parser

   Puoi rendere attivo l'aggiornamento del parser in anticipo, saltare l'aggiornamento e creare un parser personalizzato, o attendere che l'aggiornamento venga applicato automaticamente durante la quarta settimana del mese.

Rendere attivo l'aggiornamento del parser in anticipo

La funzionalità di gestione dei parser ti consente di rendere attivo l'aggiornamento del parser in anticipo. Ad esempio, se vuoi testarlo.

Per rendere attivo l'aggiornamento del parser in anticipo:

1. Nella pagina Confronta parser, fai clic su Rendi attivo l'aggiornamento del parser.

   Viene visualizzata la finestra di dialogo Conferma aggiornamento del parser.

2. Fai clic su Conferma.

   Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.

   Nota: questa versione del parser rimane attiva fino al ciclo di release successivo.

Saltare gli aggiornamenti dei parser predefiniti

Per saltare gli aggiornamenti dei parser predefiniti attuali e futuri, crea un parser personalizzato nel seguente modo:

1. Nella pagina Confronta parser, fai clic su Salta aggiornamento.

   Viene visualizzata la finestra Salta aggiornamento e crea parser personalizzato.

2. Fai clic su Crea parser personalizzato.

3. In Tipo di parser da cui iniziare, seleziona il parser predefinito corrente o l'aggiornamento del parser in attesa.

4. Fai clic su Crea.

   Nota: se esiste già un parser personalizzato per questa origine log, non puoi crearne un altro. Viene visualizzato il seguente messaggio: Esiste già un parser personalizzato per questa origine log.

   La versione selezionata viene attivata per il processo di normalizzazione dopo 20 minuti. Viene visualizzata come Personalizzata e Attiva nella lista dei parser nella pagina Parser. La versione predefinita precedente viene visualizzata come Predefinita e Inattiva.

   Nota: tutti gli aggiornamenti futuri dei parser predefiniti rimangono visibili, ma non vengono applicati a meno che tu non disattivi il parser personalizzato e non torni alla versione predefinita.

Ripristinare un aggiornamento anticipato del parser predefinito

Se hai attivato l'aggiornamento del parser in anticipo, puoi comunque tornare alla versione precedente fino alla quarta settimana del mese, quando l'aggiornamento viene attivato automaticamente.

Per tornare alla versione precedente del parser:

1. Dal menu Applicazioni delle app, seleziona Impostazioni > Parser.

2. Fai clic su Menu accanto al parser di cui vuoi eseguire il rollback.

3. Fai clic su Visualizza.

   Viene visualizzata la pagina Visualizza parser predefinito.

4. Fai clic su Ripristina versione precedente.

   Viene visualizzata la finestra di dialogo Ripristina versione precedente. Puoi fare clic su Confronta parser nella finestra di dialogo per visualizzare la differenza tra la versione attuale e quella precedente.

5. Fai clic su Conferma per ripristinare la versione precedente del parser.

   Dopo 20 minuti, il parser viene ripristinato alla versione precedente.

Analizzare l'impatto della versione del parser in programma

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici per Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici per Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestire le funzionalità di anteprima o contatta l'amministratore di sistema.

Nota: questa funzionalità non è disponibile per tutti i clienti in tutte le regioni.

Il controllo dell'impatto ti consente di valutare il potenziale impatto della versione del parser in programma sulle regole di rilevamento prima di applicare le modifiche. Per le regole interessate negativamente, puoi seguire i link per esaminarle e aggiornarle di conseguenza.

Per le regole di singoli eventi, l'analisi controlla i rilevamenti generati dalle regole di rilevamento negli ultimi 30 giorni. Esegue sia la versione attuale che quella in programma del parser sugli eventi corrispondenti a questi rilevamenti. Questo processo rigenera i rilevamenti per verificare la presenza di mancate corrispondenze.

Per le regole multi-evento, l'analisi utilizza un campione degli eventi anziché tutti gli eventi per eseguire un'analisi euristica. Se gli eventi non corrispondono, questa analisi contrassegna il risultato come Potenzialmente in errore.

Per eseguire un'analisi dell'impatto della versione del parser in programma sulle regole di rilevamento:

1. Nella console Google SecOps, vai a Impostazioni > Impostazioni SIEM > Parser.
2. Seleziona un tipo di log specifico (parser predefinito).
3. Seleziona una delle opzioni di aggiornamento del parser: Aggiorna all'ultima versione, Esegui il rollback all'ultima versione utilizzata o Attiva una Release Candidate.
4. Vai alla scheda Impatto del parser e fai clic su Controlla l'impatto sulle regole. Il controllo dell'impatto potrebbe richiedere un po' di tempo.

5. Al termine, il sistema visualizza quanto segue:

   • I metadati del parser e un elenco di regole interessate dalla nuova versione, con i dettagli del tipo di regola e dei campi UDM che mostrano le differenze.

   • Il sistema classifica le regole interessate negativamente nel seguente modo:

     • In errore: il nuovo parser non ha generato un rilevamento, ma il parser attuale sì.
     • Potenzialmente in errore: regole (incluse quelle multi-evento) in cui i campi UDM nella logica della regola sono stati modificati. Devi esaminare ulteriormente queste regole.

   Per ognuna di queste, segui il link all'editor delle regole per esaminare e modificare la regola in modo che funzioni con la nuova versione del parser.

Gestire le versioni dei parser predefiniti

Google SecOps fornisce e gestisce i parser predefiniti per garantire che i log vengano analizzati correttamente. Puoi controllare la modalità di applicazione delle nuove versioni del parser nel tuo ambiente per soddisfare le esigenze della tua organizzazione.

Questa sezione descrive il ciclo di vita completo della gestione delle versioni dei parser in Google SecOps. Sono inclusi l'attivazione e la disattivazione degli aggiornamenti automatici, il confronto della logica tra le versioni, l'aggiornamento manuale alle nuove versioni e il rollback alle versioni precedenti.

Nota: puoi visualizzare l'anteprima dei parser predefiniti di Google per testare le nuove versioni. Tuttavia, non puoi utilizzare lo strumento anteprima per testare un parser predefinito aggiornato mentre è in esecuzione un parser specializzato attivo. Devi disattivare il parser personalizzato e tornare a utilizzare un parser predefinito.

Attivare e disattivare gli aggiornamenti automatici dei parser

Se disattivi gli aggiornamenti automatici, il parser rimane alla versione attuale finché non li riattivi o non lo aggiorni manualmente. Per disattivare gli aggiornamenti automatici:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Disattiva aggiornamenti automatici.

Quando gli aggiornamenti automatici sono attivati, il parser viene aggiornato a ogni nuova release stabile. Per attivare gli aggiornamenti automatici:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Attiva aggiornamenti automatici.

Importante: per attivare un parser di anteprima, è necessario che gli aggiornamenti automatici siano attivi e che il parser sia all'ultima versione. La disattivazione degli aggiornamenti rimuove l'opzione di anteprima e ripristina l'ultima versione stabile utilizzata per quel tipo di log.

Aggiornare manualmente una versione del parser

Se gli aggiornamenti automatici sono disattivati, puoi scegliere quando aggiornare un parser a una nuova versione. In questo modo puoi esaminare le modifiche prima di applicarle.

Nota: puoi eseguire l'upgrade solo all'ultima versione del parser e non a quelle intermedie. Per aggiornare un parser:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Aggiorna all'ultima versione.

   Viene visualizzata la pagina Confronta parser. Puoi visualizzare quanto segue:

   • La differenza di codice tra la versione attuale e quella nuova del parser.

   • La scheda Log delle modifiche, che riepiloga le modifiche.

   • L'output UDM per il log non elaborato di esempio. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato di esempio.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Aggiorna parser per aggiornarlo all'ultima versione.

Eseguire il rollback di una versione del parser

Puoi ripristinare l'ultima versione utilizzata di un parser, indipendentemente dallo stato di aggiornamento automatico. Per eseguire il rollback di una versione del parser:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Esegui il rollback all'ultima versione utilizzata.

   Viene visualizzata la pagina Confronta parser. Puoi visualizzare quanto segue:

   • La differenza di codice tra la versione attuale e quella utilizzata più di recente del parser.

   • La scheda Log delle modifiche, che mostra le modifiche.

   • L'output UDM per il log non elaborato di esempio. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato di esempio.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Procedi con il rollback per tornare all'ultima versione utilizzata.

Il parser esegue il rollback all'ultima versione utilizzata. Ad esempio, se hai eseguito l'upgrade dalla versione 17.0 alla 24.0, il rollback ti riporterà alla versione 17.0, non alla 23.0.

Puoi eseguire un solo rollback consecutivo. Dopo aver eseguito un rollback, l'opzione Esegui il rollback non è più disponibile.

Nota: gli aggiornamenti dei parser richiedono circa 30 minuti. Durante questo periodo, potresti riscontrare incoerenze temporanee nell'analisi degli eventi.

Norme di assistenza per le versioni precedenti del parser

Solo l'ultima versione stabile di un parser predefinito riceve correzioni di bug e miglioramenti. Se disattivi gli aggiornamenti automatici e rimani a una versione precedente del parser, questa versione non riceve patch o aggiornamenti. Se segnali problemi con questa versione precedente, la prossima release stabile include la correzione. Per ricevere la correzione, devi eseguire manualmente l'upgrade del parser all'ultima versione stabile.

Creare un'estensione

Le estensioni del parser forniscono un modo flessibile per estendere le funzionalità dei parser predefiniti (impostazione predefinita) esistenti. Non sostituiscono i parser predefiniti. Consentono invece l'estrazione senza interruzioni di campi aggiuntivi dal log non elaborato originale nel record UDM. Un'estensione del parser è diversa da un parser personalizzato.

Per creare un'estensione del parser, consulta Utilizzare le estensioni del parser.

Controllare l'accesso alla gestione dei parser

Per impostazione predefinita, gli utenti con i ruoli Amministratore ed Editor possono gestire gli aggiornamenti dei parser. È possibile concedere nuove autorizzazioni per controllare chi può visualizzare e gestire questi aggiornamenti.

Per saperne di più sulla gestione di utenti e gruppi o sull'assegnazione di ruoli, consulta la guida per l'utente del controllo dell'accesso basato sui ruoli.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.