Gestisci parser predefiniti

Supportato in:

Google SecOps SIEM

Questo documento fornisce indicazioni su come gestire i parser in Google Security Operations. Vengono descritti in dettaglio come gestire gli aggiornamenti dei parser predefiniti, creare estensioni del parser e controllare l'accesso alla gestione dei parser.

Che cosa sono i parser?

In Google Security Operations, un parser è un insieme di istruzioni che trasforma i dati dei log non elaborati provenienti da varie fonti nel formato Unified Data Model (UDM). La normalizzazione dei log non elaborati in UDM è essenziale perché consente a Google SecOps di analizzare, cercare e correlare in modo efficace gli eventi di sicurezza in tutti i dati importati, indipendentemente dal formato del log originale. Per una panoramica generale dell'analisi dei log, consulta Panoramica dell'analisi dei log.

Perché sono necessari i parser?

I parser sono fondamentali per rendere utilizzabili i dati di sicurezza in Google SecOps. Senza un'analisi corretta, i log non elaborati rimangono non strutturati e non possono essere cercati in modo efficace, correlati ad altri eventi di sicurezza o utilizzati dalle regole di rilevamento. Il processo di normalizzazione arricchisce i dati non elaborati, mappando i campi chiave in uno schema standardizzato che potenzia le funzionalità di analisi di Google SecOps.

Quali parser vengono visualizzati nella piattaforma?

La pagina Parser nella piattaforma Google SecOps mostra i parser predefiniti solo per i tipi di log per i quali hai già importato i dati. Se non hai ancora importato log per un tipo di log specifico, il parser predefinito corrispondente non verrà visualizzato nella piattaforma.

Ad esempio, i tipi di log come UDM (inseriti utilizzando l'API udmevents o senza log grezzi) e determinati log Mandiant (inseriti utilizzando l'API CreateEntities) non richiedono o non hanno parser associati perché sono già in un formato strutturato. Di conseguenza, non verranno elencati nella pagina Parser.

Per visualizzare un parser predefinito nella piattaforma, assicurati di aver inserito correttamente i dati per quel tipo di log specifico.

Questo documento tratta i seguenti aspetti chiave della gestione dei parser:

• Gestire gli aggiornamenti dell'analizzatore predefinito
• Gestire le versioni del parser predefinito
• Creare un'estensione
• Controllare l'accesso alla gestione dei parser

Nota: nei mapping dei campi UDM sono supportati solo i caratteri UTF-8. L'utilizzo di altre codifiche può causare errori di analisi e rendere i log non ricercabili.

Tipi di parser

Informazioni sui tipi di parser e sulle loro funzioni:

Tipo di parser	Descrizione
Predefinita	Parser creati da Google SecOps che includono mappature integrate per trasformare i dati dei log originali in campi UDM.
Estesa predefinita	Un parser predefinito creato dai clienti con istruzioni di mappatura aggiuntive per estrarre dati aggiuntivi da un log non elaborato originale e inserirli nel record UDM.
Personalizzato	Un parser non predefinito con istruzioni di mappatura dei dati personalizzate per trasformare i dati dei log originali in campi UDM. Per saperne di più, consulta Configura i parser personalizzati.
Estesa personalizzata	Un parser personalizzato con istruzioni di mappatura aggiuntive che utilizza un'estensione del parser per estrarre dati aggiuntivi da un log non elaborato originale e inserirli nel record UDM.

Gestire gli aggiornamenti del parser predefinito

Google SecOps in genere aggiorna i parser predefiniti durante la quarta settimana di ogni mese. Questi aggiornamenti vengono resi disponibili per primi ai clienti per l'accesso in anteprima e i test. Man mano che diventano disponibili, gli aggiornamenti futuri del parser vengono contrassegnati come aggiornamenti in attesa nell'elenco dei parser. Puoi esaminare la differenza tra le versioni precedenti e più recenti del parser, attivare l'aggiornamento del parser in anticipo per testarlo oppure saltare l'aggiornamento e creare un parser personalizzato.

Importante: questa funzionalità richiede che gli aggiornamenti automatici del parser siano attivi. Per attivare questa impostazione, consulta Attivare e disattivare gli aggiornamenti automatici dei parser.

Per visualizzare l'aggiornamento in sospeso:

1. Accedi alla tua istanza Google SecOps.

2. Seleziona Impostazioni > Impostazioni SIEM > Parser.

3. Fai clic su Filtra.

4. Seleziona Predefinito, Attivo e Predefinito esteso dall'elenco.

   Viene visualizzato un elenco di parser predefiniti attivi (impostazione predefinita). Gli aggiornamenti futuri dei parser sono contrassegnati come In attesa nella colonna Aggiornamento.

5. Fai clic su Menu e seleziona Visualizza aggiornamento in attesa dall'elenco.

   Viene visualizzata la pagina Confronta analizzatori. Qui puoi visualizzare:

   • La differenza di codice tra la versione attuale e quella imminente del parser

   • Analizzare l'impatto della prossima versione del parser sulle regole di rilevamento

   • I log delle modifiche nella scheda Log delle modifiche

   • L'evento UDM generato per il log non elaborato campionato

     Nota: il campione visualizzato è casuale e potrebbe non mostrare tutti i campi modificati. Puoi modificare l'esempio di log facendo clic su Modifica e inserendo il tuo esempio. Poi, fai clic su Aggiorna per aggiornare.

   • La data e l'ora in cui è stato creato il parser

   • La data e l'ora dell'ultimo aggiornamento del codice del parser

   Puoi attivare l'aggiornamento del parser in anticipo, saltare l'aggiornamento e creare un parser personalizzato oppure attendere che l'aggiornamento venga applicato automaticamente durante la quarta settimana del mese.

Rendere attivo in anticipo l'aggiornamento del parser

La funzionalità di gestione del parser ti consente di attivare in anticipo l'aggiornamento del parser. Ad esempio, se vuoi provarlo.

Per attivare in anticipo l'aggiornamento del parser:

1. Nella pagina Confronta analizzatori, fai clic su Rendi attivo l'aggiornamento dell'analizzatore.

   Viene visualizzata la finestra di dialogo Conferma aggiornamento parser.

2. Fai clic su Conferma.

   Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.

   Nota: questa versione del parser rimane attiva fino al ciclo di rilascio successivo.

Salta gli aggiornamenti del parser predefinito

Per saltare gli aggiornamenti del parser predefinito attuale e futuri, crea un parser personalizzato nel seguente modo:

1. Nella pagina Confronta analizzatori, fai clic su Salta aggiornamento.

   Viene visualizzata la finestra Salta aggiornamento e crea parser personalizzato.

2. Fai clic su Crea parser personalizzato.

3. Per Tipo di parser da cui iniziare, seleziona il parser predefinito corrente o l'aggiornamento del parser in attesa.

4. Fai clic su Crea.

   Nota :se esiste già un parser personalizzato per questa sorgente log, non puoi crearne un altro. Viene visualizzato il seguente messaggio: Esiste già un parser personalizzato per questa sorgente log.

   La versione selezionata viene attivata per il processo di normalizzazione dopo 20 minuti. Viene visualizzato come Personalizzato e Attivo nell'elenco dei parser nella pagina Parser. La versione predefinita precedente viene visualizzata come Predefinita e Non attiva.

   Nota: tutti gli aggiornamenti futuri del parser predefinito rimangono visibili, ma non vengono applicati a meno che tu non disattivi il parser personalizzato e non ripristini la versione predefinita.

Ripristinare un aggiornamento anticipato del parser predefinito

Se hai attivato l'aggiornamento del parser in anticipo, puoi comunque ripristinare la versione precedente fino alla quarta settimana del mese, quando l'aggiornamento viene attivato automaticamente.

Per tornare alla versione precedente del parser:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu accanto al parser che vuoi ripristinare.

3. Fai clic su Visualizza.

   Viene visualizzata la pagina Visualizza parser predefinito.

4. Fai clic su Ripristina versione precedente.

   Viene visualizzata la finestra di dialogo Ripristina precedente. Puoi fare clic su Confronta analizzatori nella finestra di dialogo per vedere la differenza tra la versione attuale e quella precedente.

5. Fai clic su Conferma per ripristinare la versione precedente del parser.

   Dopo 20 minuti, il parser viene ripristinato alla versione precedente.

Analizzare l'impatto della prossima versione del parser

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici per Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestire le funzionalità di anteprima o contatta l'amministratore di sistema.

Nota:questa funzionalità potrebbe non essere disponibile per tutti i clienti in tutte le regioni. Le funzionalità di anteprima privata non sono gestibili nella pagina Gestore anteprima pubblica della piattaforma Google SecOps.

Il controllo dell'impatto ti consente di valutare il potenziale impatto della prossima versione del parser sulle regole di rilevamento prima di applicare le modifiche. Per le regole interessate negativamente, puoi seguire i link per esaminarle e aggiornarle di conseguenza.

Per le regole di un singolo evento, l'analisi controlla i rilevamenti generati dalle regole di rilevamento negli ultimi 30 giorni. Esegue sia la versione attuale che quella futura del parser sugli eventi corrispondenti a questi rilevamenti. Questo processo rigenera i rilevamenti per verificare la presenza di mancate corrispondenze.

Per le regole multi-evento, l'analisi utilizza un campione degli eventi anziché tutti gli eventi per eseguire un'analisi euristica. Se gli eventi non corrispondono, questa analisi contrassegna il risultato come Potenzialmente non riuscito.

Per eseguire un'analisi dell'impatto della prossima versione del parser sulle regole di rilevamento:

1. Nella console Google SecOps, vai a Impostazioni > Impostazioni SIEM > Parser.
2. Seleziona un tipo di log specifico (parser predefinito).
3. Seleziona una delle opzioni di aggiornamento del parser: Aggiorna all'ultima versione, Ripristina l'ultima versione utilizzata o Attiva una Release Candidate.
4. Vai alla scheda Impatto del parser e fai clic su Controlla impatto sulle regole. Il controllo dell'impatto potrebbe richiedere un po' di tempo.

5. Al termine, il sistema visualizza quanto segue:

   • Metadati del parser e un elenco di regole interessate dalla nuova versione, con dettagli sul tipo di regola e sui campi UDM che mostrano differenze.

   • Il sistema classifica le regole interessate negativamente nel seguente modo:

     • In errore: il nuovo parser non ha generato un rilevamento, ma il parser attuale sì.
     • Potenzialmente in errore: regole (incluse quelle multi-evento) in cui i campi UDM nella logica della regola sono cambiati. Devi esaminare ulteriormente queste regole.

   Per ciascuna di queste, segui il link all'editor di regole per esaminare e modificare la regola in modo che funzioni con la nuova versione del parser.

Gestisci le versioni del parser predefinito

Google SecOps fornisce e gestisce parser predefiniti per assicurarsi che i log vengano analizzati correttamente. Puoi controllare la modalità di applicazione delle nuove versioni del parser nel tuo ambiente per soddisfare le esigenze della tua organizzazione.

Questa sezione descrive il ciclo di vita completo della gestione delle versioni del parser in Google SecOps. Ciò include l'attivazione e la disattivazione degli aggiornamenti automatici, il confronto della logica tra le versioni, l'aggiornamento manuale alle nuove versioni e il rollback alle versioni precedenti.

Nota: puoi visualizzare l'anteprima dei parser predefiniti di Google per testare le nuove versioni. Tuttavia, non puoi utilizzare lo strumento anteprima per testare un parser predefinito aggiornato mentre è in esecuzione un parser specializzato attivo. Devi disattivare il parser personalizzato e tornare a utilizzare uno predefinito.

Attivare e disattivare gli aggiornamenti automatici del parser

Se disattivi gli aggiornamenti automatici, il parser rimane nella versione corrente finché non riattivi gli aggiornamenti automatici o non lo aggiorni manualmente. Per disattivare gli aggiornamenti automatici:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Disattiva aggiornamenti automatici.

Quando gli aggiornamenti automatici sono abilitati, il parser viene aggiornato con ogni nuova release stabile. Per attivare gli aggiornamenti automatici:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Attiva aggiornamenti automatici.

Importante: l'attivazione di un parser di anteprima richiede che gli aggiornamenti automatici siano attivi e che il parser sia aggiornato all'ultima versione. Se disattivi gli aggiornamenti, l'opzione di anteprima viene rimossa e viene ripristinata l'ultima versione stabile utilizzata per quel tipo di log.

Aggiornare manualmente una versione del parser

Se gli aggiornamenti automatici sono disattivati, puoi scegliere quando aggiornare un parser a una nuova versione. In questo modo, puoi esaminare le modifiche prima di applicarle.

Nota: puoi eseguire l'upgrade solo all'ultima versione del parser e non a quelle intermedie. Per aggiornare un parser, procedi nel seguente modo:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Aggiorna all'ultima versione.

   Viene visualizzata la pagina Confronta analizzatori. Puoi visualizzare:

   • La differenza di codice tra la versione attuale e quella nuova del parser.

   • La scheda Log delle modifiche, che riepiloga le modifiche.

   • L'output UDM per il log non elaborato campionato. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Aggiorna parser per aggiornarlo all'ultima versione.

Eseguire il rollback di una versione del parser

Puoi ripristinare l'ultima versione utilizzata di un parser, indipendentemente dal suo stato di aggiornamento automatico. Per eseguire il rollback di una versione del parser:

1. Dal menu Applicazioni, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Esegui il rollback all'ultima versione utilizzata.

   Viene visualizzata la pagina Confronta analizzatori. Puoi visualizzare:

   • La differenza di codice tra la versione attuale e l'ultima versione utilizzata del parser.

   • La scheda Log delle modifiche, che mostra le modifiche.

   • L'output UDM per il log non elaborato campionato. Per testare l'output rispetto a un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Procedi al rollback per ripristinare l'ultima versione utilizzata.

Il parser esegue il rollback all'ultima versione utilizzata. Ad esempio, se hai eseguito l'upgrade dalla versione 17.0 alla 24.0, il rollback ti riporterà alla versione 17.0, non alla 23.0.

Puoi eseguire un solo rollback consecutivo. Dopo aver eseguito un rollback, l'opzione Rollback non è più disponibile.

Nota: gli aggiornamenti del parser richiedono circa 30 minuti. Durante questo periodo, potresti riscontrare incongruenze temporanee nell'analisi degli eventi.

Norme di assistenza per le versioni precedenti del parser

Solo l'ultima versione stabile di un parser predefinito riceve correzioni di bug e miglioramenti. Se disattivi gli aggiornamenti automatici e rimani su una versione precedente del parser, questa versione non riceve patch o aggiornamenti. Se segnali problemi con questa versione precedente, la correzione verrà inclusa nella prossima release stabile. Per ricevere la correzione, devi eseguire manualmente l'upgrade del parser all'ultima versione stabile.

Crea un'estensione

Le estensioni del parser forniscono un modo flessibile per estendere le funzionalità dei parser predefiniti (predefiniti) esistenti. Non sostituiscono i parser predefiniti. Consentono invece l'estrazione senza problemi di campi aggiuntivi dal log non elaborato originale nel record UDM. Un'estensione del parser è diversa da un parser personalizzato.

Per creare un'estensione parser, consulta Utilizzo delle estensioni parser.

Controllare l'accesso alla gestione dei parser

Per impostazione predefinita, gli utenti con i ruoli Amministratore ed Editor possono gestire gli aggiornamenti del parser. È possibile concedere nuove autorizzazioni per controllare chi può visualizzare e gestire questi aggiornamenti.

Per saperne di più sulla gestione di utenti e gruppi o sull'assegnazione di ruoli, consulta la guida utente controllo dell'accesso basato sui ruoli.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.