Mengelola parser bawaan

Didukung di:

Google secops SIEM

Dokumen ini memberikan panduan tentang cara mengelola parser dalam Google Security Operations. Bagian ini menjelaskan cara menangani update pada parser bawaan, membuat ekstensi parser, dan mengontrol akses ke pengelolaan parser.

Apa itu parser?

Di Google Security Operations, parser adalah serangkaian petunjuk yang mengubah data log mentah dari berbagai sumber ke dalam format Model Data Terpadu (UDM). Menormalisasi log mentah ke UDM sangat penting karena memungkinkan Google SecOps menganalisis, menelusuri, dan mengorelasikan peristiwa keamanan secara efektif di semua data yang Anda masukkan, terlepas dari format log aslinya. Untuk mengetahui ringkasan umum penguraian log, lihat Ringkasan penguraian log.

Mengapa parser diperlukan?

Parser sangat penting untuk membuat data keamanan Anda dapat digunakan dalam Google SecOps. Tanpa parsing yang tepat, log mentah tetap tidak terstruktur dan tidak dapat dicari secara efektif, dikorelasikan dengan peristiwa keamanan lainnya, atau digunakan oleh aturan deteksi. Proses normalisasi memperkaya data mentah, memetakan kolom utama ke dalam skema standar yang mendukung kemampuan analisis Google SecOps.

Parser mana yang muncul di platform?

Halaman Parser di platform Google SecOps hanya menampilkan parser bawaan untuk jenis log yang datanya telah Anda masukkan. Jika Anda belum menyerap log apa pun untuk jenis log tertentu, parser bawaan yang sesuai tidak akan muncul di platform.

Misalnya, jenis log seperti UDM (di-ingest menggunakan udmevents API atau tanpa log mentah) dan log Mandiant tertentu (di-ingest menggunakan CreateEntities API) tidak memerlukan atau memiliki parser terkait karena sudah dalam format terstruktur. Oleh karena itu, parser ini tidak akan tercantum di halaman Parser.

Untuk melihat parser bawaan di platform, pastikan Anda telah berhasil menyerap data untuk jenis log tertentu tersebut.

Dokumen ini mencakup aspek utama berikut dalam pengelolaan parser:

• Mengelola update parser bawaan
• Mengelola versi parser bawaan
• Membuat ekstensi
• Mengontrol akses ke pengelolaan parser

Catatan: Hanya karakter UTF-8 yang didukung dalam pemetaan kolom UDM. Menggunakan encoding lain dapat menyebabkan kegagalan penguraian dan membuat log tidak dapat ditelusuri.

Jenis parser

Memahami jenis parser dan fungsinya:

Jenis parser	Deskripsi
Siap Pakai	Parser yang dibuat oleh Google SecOps yang mencakup pemetaan bawaan untuk mengubah data log asli menjadi kolom UDM.
Siap pakai ekstensif	Parser bawaan yang dibuat oleh pelanggan dengan petunjuk pemetaan tambahan untuk mengekstrak data tambahan dari log raw asli dan memasukkannya ke dalam data UDM.
Kustom	Parser yang tidak dibuat sebelumnya dan memiliki petunjuk pemetaan data kustom untuk mengubah data log asli menjadi kolom UDM. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi parser kustom.
Ekstra kustom	Parser kustom dengan petunjuk pemetaan tambahan yang menggunakan ekstensi parser untuk mengekstrak data tambahan dari log raw asli dan memasukkannya ke dalam rekaman UDM.

Mengelola update parser bawaan

Google SecOps biasanya mengupdate parser siap pakainya selama minggu keempat setiap bulan. Pembaruan ini pertama-tama tersedia untuk pelanggan yang memiliki akses awal dan untuk pengujian. Saat update parser mendatang tersedia, update tersebut ditandai sebagai update Tertunda dalam daftar parser. Anda dapat memeriksa perbedaan antara versi parser yang lebih lama dan yang lebih baru, atau mengaktifkan update parser lebih awal untuk mengujinya, atau melewati update dan membuat parser kustom.

Penting: Fitur ini memerlukan pembaruan parser otomatis agar aktif. Untuk mengaktifkan setelan ini, lihat Mengaktifkan dan menonaktifkan update parser otomatis.

Untuk melihat update yang tertunda, lakukan langkah berikut:

1. Login ke instance Google SecOps Anda.

2. Pilih Setelan > Setelan SIEM > Parser.

3. Klik Filter.

4. Pilih Bawaan, Aktif, dan Bawaan yang Diperluas dari daftar.

   Daftar parser bawaan yang aktif (default) akan ditampilkan. Update parser mendatang ditandai sebagai Tertunda di kolom Update.

5. Klik Menu, lalu pilih Lihat update tertunda dari daftar.

   Halaman Bandingkan parser akan muncul. Di sini, Anda dapat melihat hal-hal berikut:

   • Perbedaan kode antara versi parser saat ini dan yang akan datang

   • Menganalisis dampak versi parser mendatang pada aturan deteksi Anda

   • Log perubahan di tab Log perubahan

   • Peristiwa UDM yang dihasilkan untuk log mentah yang diambil sampelnya

     Catatan: Contoh yang ditampilkan bersifat acak dan mungkin tidak menampilkan semua kolom yang diubah. Anda dapat mengubah sampel log dengan mengklik Edit dan memasukkan sampel Anda sendiri. Kemudian, klik Muat ulang untuk memperbarui.

   • Tanggal dan waktu parser dibuat

   • Tanggal dan waktu kode parser terakhir diperbarui

   Anda dapat mengaktifkan update parser lebih awal, melewati update dan membuat parser kustom, atau menunggu update diterapkan secara otomatis selama minggu keempat bulan tersebut.

Mengaktifkan update parser lebih awal

Fitur pengelolaan parser memungkinkan Anda mengaktifkan update parser lebih awal. Misalnya, jika Anda ingin mengujinya.

Untuk mengaktifkan update parser lebih awal, ikuti langkah-langkah berikut:

1. Di halaman Compare parser, klik Make parser update active.

   Dialog Konfirmasi update parser akan muncul.

2. Klik Konfirmasi.

   Parser diaktifkan untuk proses normalisasi setelah 20 menit.

   Catatan: Versi parser ini tetap aktif hingga siklus rilis berikutnya.

Melewati update parser bawaan

Untuk melewati update parser bawaan saat ini dan mendatang, buat parser kustom sebagai berikut:

1. Di halaman Compare parsers, klik Skip update.

   Jendela Lewati update dan buat parser kustom akan muncul.

2. Klik Buat parser kustom.

3. Untuk Jenis parser yang akan digunakan, pilih Parser Siap Pakai saat ini atau Pembaruan Parser Tertunda.

4. Klik Create.

   Catatan: Jika parser kustom sudah ada untuk sumber log ini, Anda tidak dapat membuat parser kustom lainnya. Pesan berikut ditampilkan, Parser kustom sudah ada untuk sumber log ini.

   Versi yang dipilih diaktifkan untuk proses normalisasi setelah 20 menit. Parser ini akan muncul sebagai Kustom dan Aktif dalam daftar parser di halaman Parser. Versi bawaan sebelumnya akan muncul sebagai Bawaan dan Tidak aktif.

   Catatan: Semua update parser bawaan di masa mendatang tetap terlihat, tetapi tidak diterapkan kecuali jika Anda menonaktifkan parser kustom dan kembali ke versi bawaan.

Mengembalikan update awal parser bawaan

Jika mengaktifkan update parser lebih awal, Anda masih dapat mengembalikan ke versi sebelumnya hingga minggu keempat bulan tersebut, saat update diaktifkan secara otomatis.

Untuk beralih kembali ke versi parser sebelumnya, ikuti langkah-langkah berikut:

1. Dari Menu aplikasi , pilih Setelan > Parser.

2. Klik Menu pada parser yang ingin Anda kembalikan.

3. Klik View.

   Halaman View prebuilt parser akan muncul.

4. Klik Kembalikan ke versi sebelumnya.

   Dialog Kembali ke versi sebelumnya akan muncul. Anda dapat mengklik Bandingkan Parser pada dialog untuk melihat perbedaan antara versi saat ini dan versi sebelumnya.

5. Klik Konfirmasi untuk mengembalikan parser ke versi sebelumnya.

   Parser akan dikembalikan ke versi sebelumnya setelah 20 menit.

Menganalisis dampak versi parser mendatang

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Catatan: Fitur ini tidak tersedia untuk semua pelanggan di semua wilayah.

Dengan pemeriksaan dampak, Anda dapat menilai potensi dampak versi parser mendatang pada aturan deteksi sebelum menerapkan perubahan. Untuk aturan yang terpengaruh secara negatif, Anda dapat mengikuti link untuk menyelidiki dan memperbarui aturan Anda sebagaimana mestinya.

Untuk aturan satu peristiwa, analisis memeriksa deteksi yang dihasilkan oleh aturan deteksi Anda selama 30 hari terakhir. Deteksi ini menjalankan versi parser saat ini dan mendatang pada peristiwa yang sesuai dengan deteksi tersebut. Proses ini akan membuat ulang deteksi untuk memeriksa ketidakcocokan.

Untuk aturan banyak peristiwa, analisis menggunakan sampel peristiwa, bukan semua peristiwa, untuk melakukan analisis heuristik. Jika peristiwa tidak cocok, analisis ini akan menandai hasilnya sebagai Berpotensi gagal.

Untuk menjalankan analisis dampak versi parser mendatang pada aturan deteksi Anda, lakukan hal berikut:

1. Di Konsol SecOps Google, buka Settings > SIEM Settings > Parsers.
2. Pilih Jenis log tertentu (parser bawaan).
3. Pilih salah satu opsi update parser: Update ke versi terbaru, Kembalikan ke versi terakhir yang digunakan, atau Aktifkan versi Kandidat Rilis.
4. Buka tab Dampak parser, lalu klik Periksa dampak pada aturan. Pemeriksaan dampak mungkin memerlukan waktu beberapa saat untuk diselesaikan.

5. Setelah selesai, sistem akan menampilkan berikut ini:

   • Metadata parser dan daftar aturan yang terpengaruh oleh versi baru, yang menjelaskan jenis aturan dan kolom UDM yang menunjukkan perbedaan.

   • Sistem mengategorikan aturan yang terpengaruh secara negatif sebagai berikut:

     • Gagal: Parser baru tidak memunculkan deteksi, tetapi parser saat ini memunculkannya.
     • Berpotensi gagal: Aturan (termasuk multi-peristiwa) yang kolom UDM dalam logika aturannya telah berubah. Anda harus menyelidiki aturan ini lebih lanjut.

   Untuk setiap aturan tersebut, ikuti link ke editor aturan untuk menyelidiki dan mengedit aturan agar berfungsi dengan versi parser baru.

Mengelola versi parser bawaan

Google SecOps menyediakan dan memelihara parser bawaan untuk memastikan log Anda diuraikan dengan benar. Anda dapat mengontrol cara penerapan versi parser baru di lingkungan Anda untuk memenuhi kebutuhan organisasi.

Bagian ini menjelaskan siklus proses pengelolaan versi parser lengkap di Google SecOps. Hal ini mencakup memilih ikut serta dan tidak ikut serta dalam update otomatis, membandingkan logika antar-versi, mengupdate secara manual ke versi baru, dan melakukan rollback ke versi sebelumnya.

Catatan: Anda dapat melihat pratinjau parser bawaan Google untuk menguji versi baru. Namun, Anda tidak dapat menggunakan alat pratinjau untuk menguji parser bawaan yang diperbarui saat Anda menjalankan parser kustom yang aktif. Anda harus menonaktifkan parser kustom dan kembali menggunakan parser bawaan.

Mengaktifkan dan menonaktifkan update parser otomatis

Jika Anda menonaktifkan update otomatis, parser akan tetap menggunakan versi saat ini hingga Anda mengaktifkan update otomatis atau mengupdate parser secara manual. Untuk menonaktifkan update otomatis, lakukan langkah berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser bawaan yang diperlukan.

3. Klik Nonaktifkan update otomatis.

Jika update otomatis diaktifkan, parser akan diupdate dengan setiap rilis stabil baru. Untuk mengaktifkan update otomatis, lakukan langkah berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser bawaan yang diperlukan.

3. Klik Aktifkan update otomatis.

Penting: Untuk mengaktifkan parser pratinjau, update otomatis harus aktif dan parser harus menggunakan versi terbaru. Menonaktifkan update akan menghapus opsi pratinjau dan memulihkan versi stabil terakhir yang digunakan untuk jenis log tersebut.

Mengupdate versi parser secara manual

Jika update otomatis dinonaktifkan, Anda dapat memilih waktu untuk mengupdate parser ke versi baru. Dengan begitu, Anda dapat meninjau perubahan sebelum menerapkannya.

Catatan: Anda hanya dapat mengupgrade ke versi parser terbaru, bukan versi di antaranya. Untuk memperbarui parser, lakukan langkah-langkah berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser yang diperlukan.

3. Pilih Update ke versi terbaru.

   Halaman Bandingkan parser akan muncul. Anda dapat melihat hal berikut:

   • Perbedaan kode antara versi parser saat ini dan yang baru.

   • Tab Log perubahan, yang merangkum perubahan.

   • Output UDM untuk log mentah yang diambil sampelnya. Untuk menguji output terhadap log lain, klik Edit untuk mengedit log mentah yang diambil sampelnya.

   • Tanggal dan waktu kode parser terakhir diperbarui.

4. Klik Update parser untuk mengupdatenya ke versi terbaru.

Melakukan roll back versi parser

Anda dapat mengembalikan parser ke versi yang terakhir Anda gunakan, terlepas dari status update otomatisnya. Untuk mengembalikan versi parser, lakukan hal berikut:

1. Dari Menu aplikasi, pilih Setelan > Parser.

2. Klik Menu untuk parser yang diperlukan.

3. Pilih Roll back ke versi yang terakhir digunakan.

   Halaman Bandingkan parser akan muncul. Anda dapat melihat hal berikut:

   • Perbedaan kode antara versi parser saat ini dan yang terakhir digunakan.

   • Tab Log perubahan, yang menampilkan perubahan.

   • Output UDM untuk log mentah yang diambil sampelnya. Untuk menguji output terhadap log lain, klik Edit untuk mengedit log mentah yang diambil sampelnya.

   • Tanggal dan waktu kode parser terakhir diperbarui.

4. Klik Lanjutkan untuk mengembalikan guna kembali ke versi yang terakhir digunakan.

Parser akan di-roll back ke versi terakhir yang Anda gunakan. Misalnya, jika Anda melakukan upgrade dari versi 17.0 ke 24.0, melakukan rollback akan mengembalikan Anda ke 17.0, bukan 23.0.

Anda hanya dapat melakukan satu rollback berturut-turut. Setelah Anda melakukan rollback, opsi Roll back tidak lagi tersedia.

Catatan: Pembaruan parser memerlukan waktu sekitar 30 menit. Selama periode ini, Anda mungkin mengalami inkonsistensi sementara dalam penguraian peristiwa.

Kebijakan dukungan untuk versi parser sebelumnya

Hanya parser bawaan versi stabil terbaru yang menerima perbaikan bug dan peningkatan. Jika Anda menonaktifkan update otomatis dan tetap menggunakan versi parser yang lebih lama, versi tersebut tidak akan menerima patch atau update. Jika Anda melaporkan masalah dengan versi sebelumnya ini, rilis stabil berikutnya akan menyertakan perbaikan. Anda harus mengupgrade parser secara manual ke versi stabil terbaru untuk menerima perbaikan.

Membuat ekstensi

Ekstensi parser memberikan cara yang fleksibel untuk memperluas kemampuan parser bawaan (default) yang sudah ada. Parser ini tidak menggantikan parser bawaan. Sebagai gantinya, kolom ini memungkinkan ekstraksi tambahan kolom secara lancar dari log raw asli ke dalam data UDM. Ekstensi parser berbeda dengan parser kustom.

Untuk membuat ekstensi parser, lihat Menggunakan ekstensi parser.

Mengontrol akses ke pengelolaan parser

Secara default, pengguna dengan peran Administrator dan Editor dapat mengelola update parser. Izin baru dapat diberikan untuk mengontrol siapa yang dapat melihat dan mengelola pembaruan ini.

Untuk mengetahui informasi selengkapnya tentang cara mengelola pengguna dan grup, atau menetapkan peran, lihat panduan pengguna kontrol akses berbasis peran.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.