Gestisci i parser predefiniti

Supportata in:

Google SecOps SIEM

Questo documento fornisce indicazioni su come gestire i parser all'interno di Google Security Operations. Viene descritto in dettaglio come gestire gli aggiornamenti dei parser predefiniti, creare estensioni dei parser e controllare l'accesso alla gestione dei parser.

Che cosa sono i parser?

In Google Security Operations, un parser è un insieme di istruzioni che trasforma i dati dei log non elaborati provenienti da varie origini nel formato Unified Data Model (UDM). La normalizzazione dei log non elaborati in UDM è essenziale perché consente a Google SecOps di analizzare, cercare e correlare efficacemente gli eventi di sicurezza in tutti i dati importati, indipendentemente dal formato del log originale. Per una panoramica generale dell'analisi dei log, consulta Panoramica dell'analisi dei log.

Perché sono necessari i parser?

I parser sono fondamentali per rendere utilizzabili i dati di sicurezza all'interno di Google SecOps. Senza un'analisi adeguata, i log non elaborati rimangono non strutturati e non possono essere cercati in modo efficace, correlati ad altri eventi di sicurezza o utilizzati dalle regole di rilevamento. Il processo di normalizzazione arricchisce i dati non elaborati, mappando i campi chiave in uno schema standardizzato che alimenta le funzionalità analitiche di Google SecOps.

Quali parser vengono visualizzati nella piattaforma?

La pagina Parser della piattaforma Google SecOps mostra i parser predefiniti solo per i tipi di log per i quali hai già importato i dati. Se non hai ancora importato log per un tipo di log specifico, il parser predefinito corrispondente non verrà visualizzato nella piattaforma.

Ad esempio, i tipi di log come UDM (importati utilizzando l'API udmevents o senza log non elaborati) e alcuni log Mandiant (importati utilizzando l'API CreateEntities) non richiedono o non hanno parser associati, poiché sono già in un formato strutturato. Di conseguenza, non verranno elencati nella pagina Parser.

Per visualizzare un parser predefinito nella piattaforma, assicurati di aver importato correttamente i dati per quel tipo di log specifico.

Questo documento illustra i seguenti aspetti chiave della gestione dei parser:

• Gestisci gli aggiornamenti dei parser predefiniti
• Gestisci le versioni dei parser predefiniti
• Crea un'estensione
• Controlla l'accesso alla gestione dei parser

Nota: nelle mappature dei campi UDM sono supportati solo i caratteri UTF-8. L'utilizzo di altre codifiche può causare errori di analisi e rendere i log non ricercabili.

Tipi di parser

Informazioni sui tipi di parser e sulle loro funzioni:

Tipo di parser	Descrizione
Predefinita	Parser creati da Google SecOps che includono mappature integrate per trasformare i dati dei log originali in campi UDM.
Estesa predefinita	Un parser predefinito creato dai clienti con istruzioni di mappatura aggiuntive per estrarre dati aggiuntivi da un log originale non elaborato e inserirli nel record UDM.
Personalizzato	Un parser non predefinito con istruzioni di mappatura dei dati personalizzate per trasformare i dati dei log originali in campi UDM. Per saperne di più, consulta Configura i parser specializzati.
Estesa personalizzata	Un parser personalizzato con istruzioni di mappatura aggiuntive che utilizza un'estensione del parser per estrarre dati aggiuntivi da un log non elaborato originale e inserirli nel record UDM.

Gestisci gli aggiornamenti dei parser predefiniti

Google SecOps in genere aggiorna i parser predefiniti durante la quarta settimana di ogni mese. Questi aggiornamenti vengono prima resi disponibili ai clienti per l'accesso in anteprima e i test. Man mano che diventano disponibili, i prossimi aggiornamenti del parser vengono contrassegnati come In attesa nell'elenco dei parser. Puoi esaminare la differenza tra le versioni precedenti e quelle più recenti del parser, attivare l'aggiornamento del parser in anticipo per testarlo o saltare l'aggiornamento e creare un parser personalizzato.

Importante: questa funzionalità richiede che gli aggiornamenti automatici del parser siano attivi. Per attivare questa impostazione, consulta Attiva e disattiva gli aggiornamenti automatici del parser.

Per visualizzare l'aggiornamento in attesa, procedi nel seguente modo:

1. Accedi alla tua istanza Google SecOps.

2. Seleziona Impostazioni > Impostazioni SIEM > Parser.

3. Fai clic su Filtro.

4. Seleziona Predefinito, Attivo e Predefinito esteso dall'elenco.

   Viene visualizzato un elenco di parser predefiniti attivi (impostazione predefinita). Gli aggiornamenti futuri dei parser sono contrassegnati come In attesa nella colonna Aggiornamento.

5. Fai clic su Menu e seleziona Visualizza aggiornamento in attesa dall'elenco.

   Viene visualizzata la pagina Confronta parser. Qui puoi visualizzare:

   • La differenza di codice tra la versione attuale e quella futura del parser

   • Analizza l'impatto della prossima versione del parser sulle regole di rilevamento

   • I log delle modifiche nella scheda Log delle modifiche

   • L'evento UDM generato per il log non elaborato campionato

     Nota: l'esempio visualizzato è casuale e potrebbe non mostrare tutti i campi modificati. Puoi modificare l'esempio di log facendo clic su Modifica e inserendo il tuo esempio. Poi, fai clic su Aggiorna per aggiornare.

   • La data e l'ora di creazione del parser

   • La data e l'ora dell'ultimo aggiornamento del codice del parser

   Puoi attivare l'aggiornamento del parser in anticipo, saltare l'aggiornamento e creare un parser personalizzato o attendere che l'aggiornamento venga applicato automaticamente durante la quarta settimana del mese.

Attiva l'aggiornamento del parser in anticipo

La funzionalità di gestione dei parser ti consente di attivare l'aggiornamento del parser in anticipo. Ad esempio, se vuoi testarlo.

Per attivare l'aggiornamento del parser in anticipo, segui questi passaggi:

1. Nella pagina Confronta parser, fai clic su Attiva l'aggiornamento del parser.

   Viene visualizzata la finestra di dialogo Conferma aggiornamento parser.

2. Fai clic su Conferma.

   Il parser viene attivato per il processo di normalizzazione dopo 20 minuti.

   Nota: questa versione del parser rimane attiva fino al ciclo di release successivo.

Salta gli aggiornamenti del parser predefinito

Per saltare gli aggiornamenti attuali e futuri del parser predefinito, crea un parser personalizzato come segue:

1. Nella pagina Confronta parser, fai clic su Salta aggiornamento.

   Viene visualizzata la finestra Salta l'aggiornamento e crea un parser personalizzato.

2. Fai clic su Crea parser personalizzato.

3. Per Tipo di parser con cui iniziare, seleziona Parser predefinito corrente o Aggiornamento del parser in attesa.

4. Fai clic su Crea.

   Nota: se esiste già un parser personalizzato per questa origine log, non puoi crearne un altro. Viene visualizzato il seguente messaggio: Esiste già un parser personalizzato per questa sorgente log.

   La versione selezionata viene attivata per il processo di normalizzazione dopo 20 minuti. Viene visualizzato come Personalizzato e Attivo nell'elenco dei parser nella pagina Parser. La versione predefinita precedente viene visualizzata come Predefinita e Non attiva.

   Nota: tutti gli aggiornamenti futuri del parser predefinito rimangono visibili, ma non vengono applicati a meno che non disattivi il parser personalizzato e ripristini la versione predefinita.

Ripristina un aggiornamento anticipato del parser predefinito

Se hai attivato l'aggiornamento del parser in anticipo, puoi comunque ripristinare la versione precedente fino alla quarta settimana del mese, quando l'aggiornamento viene attivato automaticamente.

Per tornare alla versione precedente del parser, segui questi passaggi:

1. Dal menu Applicazione, seleziona Impostazioni > Parser.

2. Fai clic su Menu accanto al parser che vuoi ripristinare.

3. Fai clic su Visualizza.

   Viene visualizzata la pagina Visualizza parser predefinito.

4. Fai clic su Ripristina la versione precedente.

   Viene visualizzata la finestra di dialogo Ripristina versione precedente. Puoi fare clic su Confronta parser nella finestra di dialogo per visualizzare la differenza tra la versione corrente e quella precedente.

5. Fai clic su Conferma per ripristinare la versione precedente del parser.

   Il parser viene ripristinato alla versione precedente dopo 20 minuti.

Analizza l'impatto della prossima versione del parser

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici di Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestisci le funzionalità in anteprima o contatta l'amministratore di sistema.

Nota:questa funzionalità è in anteprima privata e non è disponibile per tutti i clienti in tutte le regioni. Le funzionalità in anteprima privata non sono gestibili nella pagina Gestore anteprima pubblica della piattaforma Google SecOps.

Il controllo dell'impatto ti consente di valutare il potenziale impatto della versione del parser in arrivo sulle regole di rilevamento prima di applicare le modifiche. Per le regole interessate negativamente, puoi seguire i link per esaminare e aggiornare le regole di conseguenza.

Per le regole per singoli eventi, l'analisi controlla i rilevamenti generati dalle regole di rilevamento negli ultimi 30 giorni. Esegue sia la versione attuale che quella futura del parser sugli eventi corrispondenti a questi rilevamenti. Questo processo rigenera i rilevamenti per verificare la presenza di mancate corrispondenze.

Per le regole multi-evento, l'analisi utilizza un campione dei tuoi eventi anziché tutti gli eventi per eseguire un'analisi euristica. Se gli eventi non corrispondono, questa analisi contrassegna il risultato come Potenzialmente non riuscito.

Per eseguire un'analisi dell'impatto della prossima versione del parser sulle regole di rilevamento, segui questi passaggi:

1. Nella console Google SecOps, vai a Impostazioni > Impostazioni SIEM > Parser.
2. Seleziona un tipo di log specifico (parser predefinito).
3. Seleziona una delle opzioni di aggiornamento del parser: Aggiorna all'ultima versione, Esegui il rollback all'ultima versione utilizzata o Attiva un candidato per la release.
4. Vai alla scheda Impatto del parser e fai clic su Controlla impatto sulle regole. Il controllo dell'impatto potrebbe richiedere un po' di tempo.

5. Al termine, il sistema visualizza quanto segue:

   • Metadati del parser e un elenco di regole interessate dalla nuova versione, con i dettagli del tipo di regola e dei campi UDM che mostrano differenze.

   • Il sistema classifica le regole interessate negativamente come segue:

     • In errore: il nuovo parser non ha generato un rilevamento, ma il parser attuale sì.
     • Potenzialmente non riuscita: regole (incluse quelle con più eventi) in cui i campi UDM nella logica della regola sono stati modificati. Devi esaminare ulteriormente queste regole.

   Per ognuno di questi, segui il link all'editor delle regole per esaminare e modificare la regola in modo che funzioni con la nuova versione del parser.

Gestisci le versioni dei parser predefiniti

Google SecOps fornisce e gestisce parser predefiniti per garantire che i log vengano analizzati correttamente. Puoi controllare come vengono applicate le nuove versioni del parser nel tuo ambiente per soddisfare le esigenze della tua organizzazione.

Questa sezione descrive il ciclo di vita completo della gestione delle versioni dei parser in Google SecOps. Ciò include l'attivazione e la disattivazione degli aggiornamenti automatici, il confronto della logica tra le versioni, l'aggiornamento manuale alle nuove versioni e il rollback alle versioni precedenti.

Nota: puoi visualizzare l'anteprima dei parser predefiniti di Google per testare le nuove versioni. Tuttavia, non puoi utilizzare lo strumento anteprima per testare un parser predefinito aggiornato mentre è in esecuzione un parser specializzato attivo. Devi disattivare il parser personalizzato e tornare a utilizzare un parser predefinito.

Attiva e disattiva gli aggiornamenti automatici del parser

Se disattivi gli aggiornamenti automatici, il parser rimane nella versione corrente finché non attivi gli aggiornamenti automatici o non lo aggiorni manualmente. Per disattivare gli aggiornamenti automatici, segui questi passaggi:

1. Dal menu Applicazione, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Disattiva gli aggiornamenti automatici.

Quando gli aggiornamenti automatici sono attivati, il parser viene aggiornato con ogni nuova release stabile. Per attivare gli aggiornamenti automatici:

1. Dal menu Applicazione, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser predefinito richiesto.

3. Fai clic su Attiva gli aggiornamenti automatici.

Importante: per attivare un parser di anteprima, è necessario che gli aggiornamenti automatici siano attivi e che il parser sia aggiornato all'ultima versione. Se disattivi gli aggiornamenti, l'opzione di anteprima viene rimossa e viene ripristinata l'ultima versione stabile utilizzata per quel tipo di log.

Aggiorna manualmente una versione del parser

Se gli aggiornamenti automatici sono disattivati, puoi scegliere quando aggiornare un parser a una nuova versione. In questo modo, puoi esaminare le modifiche prima di applicarle.

Nota: puoi eseguire l'upgrade solo all'ultima versione del parser e non alle versioni intermedie. Per aggiornare un parser, segui questi passaggi:

1. Dal menu Applicazione, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Aggiorna all'ultima versione.

   Viene visualizzata la pagina Confronta parser. Puoi visualizzare:

   • La differenza di codice tra la versione attuale e quella nuova del parser.

   • La scheda Log delle modifiche, che riassume le modifiche.

   • L'output UDM per il log non elaborato campionato. Per testare l'output con un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Aggiorna parser per aggiornarlo all'ultima versione.

Esegui il rollback di una versione del parser

Puoi ripristinare un parser alla versione utilizzata l'ultima volta, indipendentemente dallo stato dell'aggiornamento automatico. Per eseguire il rollback di una versione del parser, segui questi passaggi:

1. Dal menu Applicazione, seleziona Impostazioni > Parser.

2. Fai clic su Menu per il parser richiesto.

3. Seleziona Esegui il rollback all'ultima versione utilizzata.

   Viene visualizzata la pagina Confronta parser. Puoi visualizzare:

   • La differenza di codice tra la versione del parser attuale e quella utilizzata per ultima.

   • La scheda Log delle modifiche, che mostra le modifiche.

   • L'output UDM per il log non elaborato campionato. Per testare l'output con un log diverso, fai clic su Modifica per modificare il log non elaborato campionato.

   • La data e l'ora dell'ultimo aggiornamento del codice del parser.

4. Fai clic su Procedi con il rollback per ripristinare l'ultima versione utilizzata.

Il parser esegue il rollback all'ultima versione utilizzata. Ad esempio, se hai eseguito l'upgrade dalla versione 17.0 alla 24.0, il rollback ti riporterà alla versione 17.0, non alla 23.0.

Puoi eseguire un solo rollback consecutivo. Dopo aver eseguito un rollback, l'opzione Esegui rollback non è più disponibile.

Nota: gli aggiornamenti del parser richiedono circa 30 minuti. Durante questo periodo, potresti riscontrare incongruenze temporanee nell'analisi degli eventi.

Policy di assistenza per le versioni precedenti del parser

Solo l'ultima versione stabile di un parser predefinito riceve correzioni di bug e miglioramenti. Se disattivi gli aggiornamenti automatici e rimani su una versione precedente del parser, questa versione non riceverà patch o aggiornamenti. Se segnali problemi con questa versione precedente, la correzione verrà inclusa nella release stabile successiva. Devi eseguire l'upgrade manuale del parser alla versione stabile più recente per ricevere la correzione.

Crea un'estensione

Le estensioni del parser offrono un modo flessibile per estendere le funzionalità dei parser predefiniti esistenti. Non sostituiscono i parser predefiniti. Consentono invece l'estrazione senza problemi di campi aggiuntivi dal log non elaborato originale nel record UDM. Un'estensione del parser è diversa da un parser personalizzato.

Per creare un'estensione del parser, consulta Utilizza le estensioni del parser.

Controlla l'accesso alla gestione dei parser

Per impostazione predefinita, gli utenti con i ruoli Amministratore ed Editor possono gestire gli aggiornamenti del parser. È possibile concedere nuove autorizzazioni per controllare chi può visualizzare e gestire questi aggiornamenti.

Per saperne di più sulla gestione di utenti e gruppi o sull'assegnazione di ruoli, consulta la guida dell'utente per controllo dell'accesso basato su ruoli.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.