ניהול מנתחים מוכנים מראש ומנתחים בהתאמה אישית

נתמך ב:

במסמך הזה מוסבר איך לנהל מנתחי נתונים ב-Google Security Operations. במאמר מוסבר איך לטפל בעדכונים של מנתחי נתונים מובנים ומותאמים אישית, איך ליצור תוספים למנתחי נתונים ואיך לשלוט בגישה לניהול מנתחי נתונים.

מהם מנתחי נתונים?

ב-Google Security Operations, קובץ ניתוח (parser) הוא קבוצה של הוראות שממירות נתוני יומן גולמיים ממקורות שונים לפורמט של מודל הנתונים המאוחד (UDM). נרמול של יומנים גולמיים ל-UDM הוא חיוני, כי הוא מאפשר ל-Google SecOps לנתח, לחפש ולבצע קורלציה של אירועי אבטחה בצורה יעילה בכל הנתונים שהועברו, ללא קשר לפורמט המקורי של היומן. סקירה כללית על ניתוח יומנים זמינה במאמר סקירה כללית על ניתוח יומנים.

למה צריך מנתחי נתונים?

מנתחי נתונים חיוניים כדי להפוך את נתוני האבטחה שלכם לשימושיים ב-Google SecOps. ללא ניתוח נכון, קובצי יומן גולמיים נשארים לא מובנים ולא ניתן לחפש אותם ביעילות, לקשר אותם לאירועי אבטחה אחרים או להשתמש בהם בכללי זיהוי. תהליך הנרמול מעשיר את הנתונים הגולמיים, ממפה שדות מרכזיים לסכימה סטנדרטית שמפעילה את יכולות הניתוח של Google SecOps.

אילו מנתחי נתונים מופיעים בפלטפורמה?

בדף Parsers בפלטפורמת Google SecOps מוצגים מנתחי נתונים מוכנים מראש רק עבור סוגי היומנים שכבר העברתם אליהם נתונים. אם עדיין לא העברתם יומנים מסוג מסוים, מנתח הנתונים המקביל שמוכן מראש לא יופיע בפלטפורמה.

לדוגמה, סוגי יומנים כמו UDM (שנבלעו באמצעות udmevents API או ללא יומנים גולמיים) ויומנים מסוימים של Mandiant (שנבלעו באמצעות CreateEntities API) לא דורשים מנתחים משויכים או לא כוללים אותם, כי הם כבר בפורמט מובנה. לכן, הם לא יופיעו בדף Parsers.

כדי לראות מנתח מובנה מראש בפלטפורמה, צריך לוודא שהזנתם נתונים בהצלחה עבור סוג היומן הספציפי הזה.

במסמך הזה מוסברים ההיבטים העיקריים הבאים של ניהול מנתחים:

סוגי מנתחים

הסבר על סוגי מנתחי נתונים והפונקציות שלהם:

סוג מנתח תיאור
מובנה מנתחים שנוצרו על ידי Google SecOps וכוללים מיפויים מובנים להמרת נתוני יומן מקוריים לשדות UDM.
מובנה מורחב מנתח מובנה מראש שנוצר על ידי לקוחות עם הוראות מיפוי נוספות לחילוץ נתונים נוספים מיומן גולמי מקורי ולהוספה שלהם לרשומה ב-UDM.
בהתאמה אישית כלי ניתוח שלא נוצר מראש וכולל הוראות מיפוי נתונים מותאמות אישית להמרת נתוני יומן מקוריים לשדות UDM.
מותאם אישית – מורחב מנתח מותאם אישית עם הוראות מיפוי נוספות שמשתמש בהרחבת מנתח כדי לחלץ נתונים נוספים מיומן גולמי מקורי ולהוסיף אותם לרשומת UDM.

ניהול עדכונים של מנתחי נתונים מוכנים מראש

בדרך כלל, Google SecOps מעדכן את מנתחי הנתונים המוכנים מראש במהלך השבוע הרביעי של כל חודש. העדכונים האלה זמינים קודם ללקוחות בתוכנית הגישה המוקדמת ולבדיקות. כשעדכונים קרובים של כלי הניתוח הופכים לזמינים, הם מסומנים כעדכון בהמתנה ברשימת כלי הניתוח. אפשר לבדוק את ההבדל בין גרסאות קודמות של כלי הניתוח לבין גרסאות חדשות יותר, או להפעיל את העדכון של כלי הניתוח מוקדם כדי לבדוק אותו, או לדלג על העדכון וליצור כלי ניתוח מותאם אישית.

כדי לראות את העדכון שממתין להתקנה:

  1. נכנסים לחשבון במכונת Google SecOps.

  2. בוחרים באפשרות הגדרות > הגדרות SIEM > מנתחי נתונים.

  3. לוחצים על סינון.

  4. בוחרים באפשרות מוכן מראש, פעיל או מוכן מראש – מורחב מהרשימה.

    מוצגת רשימה של מנתחי נתונים פעילים (ברירת מחדל) שנוצרו מראש. עדכונים עתידיים של כלי הניתוח מסומנים כבהמתנה בעמודה עדכון.

  5. לוחצים על תפריט ובוחרים באפשרות הצגת העדכון שממתין מהרשימה.

    מופיע הדף השוואת מנתחי נתונים. בדף הזה אפשר לראות את הפרטים הבאים:

    • ההבדל בקוד בין הגרסה הנוכחית של כלי הניתוח לבין הגרסה הבאה

    • ניתוח ההשפעה של גרסת מנתח התוכן הקרובה על כללי הזיהוי

    • יומני השינויים בכרטיסייה יומני שינויים

    • אירוע ה-UDM שנוצר עבור יומן הגולמי שנדגם

    • התאריך והשעה שבהם נוצר מנתח התוכן

    • התאריך והשעה שבהם קוד הניתוח עודכן לאחרונה

    אתם יכולים להפעיל את העדכון של כלי הניתוח מוקדם מהצפוי, לדלג על העדכון וליצור כלי ניתוח מותאם אישית, או לחכות שהעדכון יופעל אוטומטית במהלך השבוע הרביעי של החודש.

הפעלה מוקדמת של עדכון מנתח הנתונים

התכונה לניהול מנתח מאפשרת להפעיל את עדכון המנתח מוקדם יותר. לדוגמה, אם רוצים לבדוק אותו.

כדי להפעיל את העדכון של מנתח התוכן לפני הזמן, פועלים לפי השלבים הבאים:

  1. בדף השוואת מנתחי נתונים, לוחצים על הפעלת עדכון של מנתח נתונים.

    מופיעה תיבת הדו-שיח Confirm parser update (אישור עדכון כלי הניתוח).

  2. לוחצים על אישור.

    המנתח מופעל לתהליך הנורמליזציה אחרי 20 דקות.

דילוג על עדכונים של מנתח מובנה

כדי לדלג על העדכונים הנוכחיים והעתידיים של מנתח מובנה מראש, יוצרים מנתח בהתאמה אישית באופן הבא:

  1. בדף השוואה בין מנתחי נתונים, לוחצים על דילוג על העדכון.

    מופיע החלון דילוג על העדכון ויצירת כלי ניתוח מותאם אישית.

  2. לוחצים על יצירת כלי ניתוח מותאם אישית.

  3. בקטע Type of parser to start with (סוג כלי הניתוח להתחלה), בוחרים באפשרות Prebuilt Parser (כלי ניתוח מוכן מראש) או באפשרות Pending Parser Update (עדכון כלי הניתוח בהמתנה).

  4. לוחצים על יצירה.

    הגרסה שנבחרה מופעלת לתהליך הנורמליזציה אחרי 20 דקות. הוא מופיע בתור Custom ו-Active ברשימת מנתחי התוכן בדף Parsers. הגרסה המוכנה מראש הקודמת מופיעה כמוכנה מראש וכלא פעילה.

החזרה לעדכון קודם של מנתח מובנה

אם הפעלתם את עדכון מנתח הנתונים מוקדם, עדיין תוכלו לחזור לגרסה הקודמת עד השבוע הרביעי של החודש, שבו העדכון מופעל אוטומטית.

כדי לחזור לגרסה הקודמת של כלי הניתוח, פועלים לפי השלבים הבאים:

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט לצד הכלי לניתוח נתונים שרוצים לבטל את השינוי שלו.

  3. לוחצים על תצוגה.

    יופיע הדף View prebuilt parser (הצגת מנתח מובנה).

  4. לוחצים על חזרה לגרסה הקודמת.

    מופיעה תיבת הדו-שיח חזרה לגרסה הקודמת. אפשר ללחוץ על השוואת מנתחי נתונים בתיבת הדו-שיח כדי לראות את ההבדל בין הגרסה הנוכחית לגרסה הקודמת.

  5. לוחצים על אישור כדי להחזיר את מנתח התוכן לגרסה הקודמת שלו.

    המנתח חוזר לגרסה הקודמת שלו אחרי 20 דקות.

ניתוח ההשפעה של גרסת מנתח התוכן הקרובה

בדיקת ההשפעה מאפשרת להעריך את ההשפעה הפוטנציאלית של גרסת מנתח התוכן הקרובה על כללי הזיהוי לפני שמחילים את השינויים. אם יש כללים שהושפעו לרעה, אפשר ללחוץ על הקישורים כדי לבדוק אותם ולעדכן אותם בהתאם.

בכללים של אירוע יחיד, הניתוח בודק את הזיהויים שנוצרו על ידי כללי הזיהוי ב-30 הימים האחרונים. המערכת מריצה גם את הגרסה הנוכחית של מנתח התוצאות וגם את הגרסה הבאה על האירועים שתואמים לגילויים האלה. במהלך התהליך הזה, המערכת יוצרת מחדש את הזיהויים כדי לבדוק אם יש אי התאמות.

בכללים שמבוססים על כמה אירועים, הניתוח מתבסס על דגימה של האירועים ולא על כל האירועים, כדי לבצע ניתוח היוריסטי. אם האירועים לא תואמים, בניתוח הזה התוצאה תסומן כעלול להיכשל.

כדי להריץ ניתוח של ההשפעה של גרסת מנתח התוכן הקרובה על כללי הזיהוי, מבצעים את הפעולות הבאות:

  1. במסוף Google SecOps, עוברים אל הגדרות > הגדרות SIEM > מנתחי נתונים.
  2. בוחרים סוג יומן ספציפי (כלי ניתוח מוכן מראש).
  3. בוחרים באחת מאפשרויות העדכון של כלי הניתוח: עדכון לגרסה העדכנית, חזרה לגרסה האחרונה שהייתה בשימוש או הצטרפות לגרסת קנדידט.
  4. עוברים לכרטיסייה השפעה של כלי הניתוח ולוחצים על בדיקת ההשפעה על הכללים. יכול להיות שיעבור קצת זמן עד להשלמת הבדיקה.

  5. בסיום, המערכת מציגה את הפרטים הבאים:

    • מטא-נתונים של כלי הניתוח ורשימה של כללים שהגרסה החדשה משפיעה עליהם, עם פירוט של סוג הכלל והשדות ב-UDM שבהם יש הבדלים.

    • המערכת מסווגת כללים שהושפעו באופן שלילי באופן הבא:

      • נכשל: המנתח החדש לא זיהה את הבעיה, אבל המנתח הנוכחי כן.
      • עלול להיכשל: כללים (כולל כללים מרובי-אירועים) שבהם שדות UDM בלוגיקה של הכלל השתנו. צריך לבדוק את הכללים האלה.

    לכל אחד מהכללים האלה, לוחצים על הקישור לכלי לעריכת כללים כדי לבדוק ולערוך את הכלל כך שיפעל עם הגרסה החדשה של כלי הניתוח.

ניהול גרסאות של כלי ניתוח מוכן מראש

‫Google SecOps מספקת ומתחזקת מנתחי נתונים מוכנים מראש כדי לוודא שהיומנים שלכם מנותחים בצורה נכונה. אתם יכולים לקבוע איך גרסאות חדשות של מנתח יחולו בסביבה שלכם כדי לעמוד בדרישות של הארגון.

בקטע הזה מתואר מחזור החיים המלא של ניהול גרסאות של מנתח התוכן ב-Google SecOps. זה כולל הצטרפות לעדכונים אוטומטיים וביטול ההצטרפות, השוואה בין הלוגיקה של הגרסאות, עדכון ידני לגרסאות חדשות וחזרה לגרסאות קודמות.

הבעת הסכמה או סירוב לקבלת עדכונים אוטומטיים של כלי הניתוח

אם משביתים את העדכונים האוטומטיים, המנתח נשאר בגרסה הנוכחית שלו עד שמפעילים את העדכונים האוטומטיים או מעדכנים אותו ידנית. כדי להשבית את העדכונים האוטומטיים:

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט עבור כלי הניתוח המובנה הנדרש.

  3. לוחצים על השבתת העדכונים האוטומטיים.

כשהעדכונים האוטומטיים מופעלים, המנתח מתעדכן בכל גרסה יציבה חדשה. כדי להפעיל עדכונים אוטומטיים:

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט עבור כלי הניתוח המובנה הנדרש.

  3. לוחצים על הפעלת עדכונים אוטומטיים.

עדכון גרסה של כלי לניתוח נתונים באופן ידני

אם העדכונים האוטומטיים מושבתים, אתם יכולים לבחור מתי לעדכן מנתח לגרסה חדשה. כך תוכלו לבדוק את השינויים לפני שתיישמו אותם.

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט עבור מנתח התוכן הנדרש.

  3. בוחרים באפשרות עדכון לגרסה העדכנית.

    מופיע הדף השוואת מנתחי נתונים. בדף הזה אפשר לראות את הפרטים הבאים:

    • ההבדל בקוד בין הגרסה הנוכחית של כלי הניתוח לבין הגרסה החדשה.

    • הכרטיסייה יומן שינויים, שבה מופיע סיכום של השינויים.

    • הפלט של UDM עבור יומן הגולמי שנדגם. כדי לבדוק את הפלט מול יומן אחר, לוחצים על עריכה כדי לערוך את היומן הגולמי לדוגמה.

    • התאריך והשעה שבהם קוד הניתוח עודכן לאחרונה.

  4. לוחצים על עדכון כלי הניתוח כדי לעדכן אותו לגרסה העדכנית.

חזרה לגרסה קודמת של כלי הניתוח

אפשר להחזיר מנתח לגרסה האחרונה שהשתמשתם בה, בלי קשר לסטטוס העדכון האוטומטי שלו. כדי לחזור לגרסה קודמת של כלי הניתוח:

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט עבור מנתח התוכן הנדרש.

  3. בוחרים באפשרות חזרה לגרסה האחרונה שהייתה בשימוש.

    מופיע הדף השוואת מנתחי נתונים. בדף הזה אפשר לראות את הפרטים הבאים:

    • ההבדל בקוד בין הגרסה הנוכחית של כלי הניתוח לבין הגרסה האחרונה שהייתה בשימוש.

    • הכרטיסייה יומן שינויים, שבה מוצגים השינויים.

    • הפלט של UDM עבור יומן הגולמי שנדגם. כדי לבדוק את הפלט מול יומן אחר, לוחצים על עריכה כדי לערוך את היומן הגולמי לדוגמה.

    • התאריך והשעה שבהם קוד הניתוח עודכן לאחרונה.

  4. לוחצים על המשך להחזרה לגרסה הקודמת כדי לחזור לגרסה האחרונה שהייתה בשימוש.

הכלי לניתוח מחזיר אתכם לגרסה האחרונה שהשתמשתם בה. לדוגמה, אם שדרגתם מגרסה 17.0 לגרסה 24.0, חזרה לגרסה קודמת תחזיר אתכם לגרסה 17.0 ולא לגרסה 23.0.

אפשר לבצע רק גלגול לאחור רצוף אחד. אחרי שמבצעים החזרה לגרסה קודמת, האפשרות החזרה לגרסה קודמת לא זמינה יותר.

מדיניות התמיכה בגרסאות קודמות של כלי הניתוח

רק הגרסה היציבה האחרונה של מנתח מובנה מראש מקבלת תיקוני באגים ושיפורים. אם משביתים את העדכונים האוטומטיים ונשארים בגרסה קודמת של כלי הניתוח, הגרסה הזו לא מקבלת תיקוני באגים או עדכונים. אם תדווחו על בעיות בגרסה הקודמת הזו, התיקון ייכלל בגרסה היציבה הבאה. כדי לקבל את התיקון, צריך לשדרג את כלי הניתוח לגרסה היציבה העדכנית באופן ידני.

מנתחי נתונים בהתאמה אישית

‫Google SecOps מאפשרת לכם ליצור מנתחי נתונים בהתאמה אישית במקרים שבהם מנתח נתונים מוכן מראש לא זמין או כשאתם רוצים שליטה רבה יותר. מנתחי נתונים מותאמים אישית מופיעים ברשימת מנתחי הנתונים לצד מנתחי נתונים מוכנים מראש.

תרחישים נפוצים לדוגמה:

יצירת מנתח מותאם אישית על סמך הוראות מיפוי

אפשר ליצור מנתח מותאם אישית על ידי כתיבת קוד שממיר את יומן הרישום המקורי הגולמי לרשומה ב-UDM.

מקורות מידע נוספים:

כשיוצרים כלי ניתוח, כדאי לאכלס כמה שיותר שדות חשובים של UDM.

  1. עוברים אל הגדרות.

  2. עוברים אל SIEM Settings (הגדרות SIEM).

  3. לוחצים על Create Parser (יצירת כלי ניתוח).

  4. בוחרים מקור יומן מתאים מהרשימה מקור יומן.

  5. בוחרים באפשרות Start with Raw Logs Only (התחלה עם יומני רישום גולמיים בלבד) כדי ליצור מנתח חדש בהתאם לדרישות שלכם.

  6. לוחצים על יצירה.

  7. מזינים את הקוד במסוף של קוד ניתוח. מידע נוסף זמין במאמר בנושא יצירת הוראה למיפוי קטע קוד.

    הערה: חשוב לוודא שהלוגיקה של מנתח הנתונים המותאם אישית ממפה את חותמות הזמן בצורה נכונה ומפיקה חותמות זמן תקפות ועדכניות. אם מנתח נתונים מותאם אישית ממפה חותמות זמן לתאריך מחוץ לחלון השמירה הרגיל, הנתונים ייקלטו בהצלחה אבל לא יהיה אפשר לחפש אותם בממשק המשתמש. מכיוון שתכונות החיפוש מסתמכות על חותמות הזמן של האירועים לצורך סינון, נתונים שממופים לתאריך שגוי לא יהיו גלויים למרות שהם נקלטו בהצלחה.

  8. אופציונלי: לוחצים על עריכה כדי לערוך את היומן או העותק הקיים של הנתונים הגולמיים.

  9. אופציונלי: לוחצים על טעינה כדי לטעון את יומן הרישום הגולמי העדכני.

  10. לוחצים על תצוגה מקדימה כדי לראות את הפלט של UDM. אם הקוד שגוי, מוצגת הודעת שגיאה.

    בתצוגה המקדימה, אפשר להשתמש בתוסף המסנן statedump כדי לאמת את המצב הפנימי של מנתח. מידע נוסף זמין במאמר בנושא אימות נתונים באמצעות התוסף statedump.

  11. לוחצים על אימות כדי לאמת את מנתח הנתונים המותאם אישית.

    תהליך האימות עשוי להימשך כמה דקות, ולכן מומלץ קודם לראות תצוגה מקדימה של מנתח הנתונים המותאם אישית, לבצע שינויים אם צריך, ואז לאמת את מנתח הנתונים המותאם אישית.

  12. לוחצים על שליחה.

    המנתח מופעל לתהליך הנורמליזציה אחרי 20 דקות.

יצירת כלי ניתוח בהתאמה אישית על סמך כלי ניתוח קיים

אפשר להשתמש במנתח קיים כתבנית ליצירת מנתח מותאם אישית חדש. השיטה הזו תומכת רק בגישה מבוססת-קוד. כדי להתחיל, פועלים לפי השלבים הבאים:

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על Create Parser (יצירת כלי ניתוח).

  3. בוחרים מקור יומן מתאים מהרשימה מקור יומן.

  4. בוחרים באפשרות Start with an Existing Prebuilt Parser (התחלה עם מנתח מובנה קיים) כדי להשתמש במנתח קיים כבסיס ליצירת מנתח מותאם אישית חדש.

  5. לוחצים על יצירה.

  6. עורכים את הקוד במסוף הקוד של כלי הניתוח. מידע נוסף זמין במאמר יצירת הוראות למיפוי קטע קוד.

  7. אופציונלי: לוחצים על עריכה כדי לערוך את יומן הרישום הגולמי.

  8. אופציונלי: לוחצים על רענון כדי לרענן את יומן הרישום הגולמי.

  9. במהלך הוספת הקוד ליצירת כלי הניתוח, לוחצים על תצוגה מקדימה כדי לראות את הפלט של UDM. אם הקוד שגוי, מוצגת הודעת שגיאה.

    בתצוגה המקדימה, אפשר להשתמש בתוסף המסנן statedump כדי לאמת את המצב הפנימי של מנתח. מידע נוסף זמין במאמר אימות נתונים באמצעות התוסף statedump.

  10. לוחצים על אימות כדי לאמת את מנתח הנתונים המותאם אישית.

    תהליך האימות עשוי להימשך כמה דקות, ולכן מומלץ קודם לראות תצוגה מקדימה של מנתח הנתונים המותאם אישית, לבצע שינויים אם צריך, ואז לאמת את מנתח הנתונים המותאם אישית.

  11. לוחצים על שליחה.

    המנתח מופעל לתהליך הנורמליזציה אחרי 20 דקות.

השבתה של מנתח מותאם אישית

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט לצד הכלי לניתוח שרוצים להשבית, ובוחרים באפשרות השבתה מהרשימה.

    מופיעה תיבת הדו-שיח Make parser inactive.

  3. לוחצים על העברה למצב לא פעיל.

המנתח המותאם אישית מושבת, והגרסה הנוכחית של המנתח המובנה מופעלת אחרי 20 דקות. המנתח המובנה הופך עכשיו למנתח ברירת המחדל.

מחיקה של מנתח מותאם אישית

  1. בתפריט האפליקציה, בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על תפריט לצד מנתח הנתונים המותאם אישית שרוצים למחוק ובוחרים באפשרות מחיקה מהרשימה. הערה: אי אפשר למחוק מנתח מובנה.

    מופיעה תיבת הדו-שיח מחיקת מנתח מותאם אישית.

  3. לוחצים על Delete.

המנתח המותאם אישית נמחק והגרסה הנוכחית של המנתח המובנה מופעלת אחרי 20 דקות.

יצירת תוסף

תוספי ניתוח מספקים דרך גמישה להרחבת היכולות של מנתחי נתונים קיימים מובנים (ברירת מחדל) ומנתחי נתונים מותאמים אישית. הם לא מחליפים מנתחי נתונים מובנים או מותאמים אישית. במקום זאת, הם מאפשרים חילוץ חלק משדות נוספים מיומן הגולמי המקורי לרשומה ב-UDM. תוסף ניתוח שונה ממנתח נתונים מותאם אישית.

הוראות ליצירת תוסף ניתוח זמינות במאמר שימוש בתוספי ניתוח.

שליטה בגישה לניהול מנתחי נתונים

כברירת מחדל, משתמשים עם תפקידים של אדמין ועורך יכולים לנהל עדכונים של מנתח התוכן. אפשר להעניק הרשאות חדשות כדי לקבוע מי יכול לראות את העדכונים האלה ולנהל אותם.

מידע נוסף על ניהול משתמשים וקבוצות או על הקצאת תפקידים זמין במדריך למשתמש בנושא בקרת גישה מבוססת-תפקידים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.