Benutzerdefinierte Parser und Parsererweiterungen mit Gemini erstellen

Unterstützt in:

In diesem Leitfaden wird beschrieben, wie Sicherheitsanalysten und Erkennungsingenieure das KI-Parsing in Google Security Operations verwenden können, um benutzerdefinierte Parser von Grund auf neu zu erstellen oder Parsererweiterungen zu erstellen, die vorhandene Parser ergänzen. Mithilfe von Prompts in natürlicher Sprache und der Dokumentation des Anbieters können Sie Logrohdaten dem einheitlichen Datenmodell (Unified Data Model, UDM) zuordnen, ohne komplexe Parsersyntax oder reguläre Ausdrücke schreiben zu müssen.

Zwischen benutzerdefinierten KI-Parsern und KI-Parser-Erweiterungen wählen

In der folgenden Tabelle werden die Funktionen „Parser mit KI erstellen“ und „Mit KI erweitern“ im KI-Parsing verglichen:

Funktionsaspekt Parser mit KI erstellen Erweiterung mit KI schreiben
Ausgabe Ein vollständiger, eigenständiger benutzerdefinierter Parser Eine Erweiterung, die auf einem vorhandenen Parser aufbaut
Primärer Anwendungsfall Neue oder nicht unterstützte Protokollquellen oder ein vollständiges Umschreiben des Parsers Bestimmte Felder in einem funktionierenden Parser hinzufügen oder korrigieren
Eingabe Logtyp, aufgenommene Rohlogs und optionale Links zur Dokumentation Logtyp, Beispiel für ein Rohlog und ein Prompt, in dem die zuzuordnenden Felder beschrieben werden

Schlüsselterminologie

  • KI-Parsing: Die KI-gestützten Parsing-Funktionen in Google SecOps, einschließlich der KI-basierten Erstellung benutzerdefinierter Parser (Parser mit KI erstellen) und KI-basierter Parser-Erweiterungen (Erweiterung mit KI schreiben).
  • Einheitliches Datenmodell (Unified Data Model, UDM): Die Standarddatenstruktur, die in Google SecOps zum Speichern und Analysieren von Logdaten verwendet wird.

Hinweis

Bevor Sie das KI-Parsing verwenden, müssen die folgenden Voraussetzungen erfüllt sein:

  • Prüfen Sie, ob die KI-Parsing-Funktionen für Ihre Google SecOps-Instanz aktiviert sind. Wenn die Optionen Parser mit KI erstellen oder Erweiterung mit KI schreiben nicht angezeigt werden, wenden Sie sich an Ihren Google SecOps-Ansprechpartner.
  • Prüfen Sie bei KI-Parser-Erweiterungen, ob für den Ziel-Logtyp bereits ein aktiver vordefinierter oder benutzerdefinierter Parser vorhanden ist, und bereiten Sie ein Beispiel-Rohlog vor, um die Extraktion zu testen.
  • Für die KI-basierte Generierung benutzerdefinierter Parser müssen Sie vor Beginn eine repräsentative Stichprobe der Logquelle aufnehmen. Der Parser-Agent lernt aus Logs, die Sie bereits für den ausgewählten Logtyp aufgenommen haben. Wenn für den Logtyp keine Logs gefunden werden, kann die Generierung nicht gestartet werden. Fehlgeschlagene Startversuche werden nicht auf Ihr Kontingent angerechnet.
  • Bereiten Sie für die KI-basierte Generierung benutzerdefinierter Parser ein bis fünf öffentlich zugängliche Links zur Referenz des Logformats des Anbieters vor, z. B. ein Feldverzeichnis, ein Ereignisschema oder eine Seite mit Logbeispielen (empfohlen). Eine umfassende Dokumentation ist der wichtigste Faktor für die Qualität des Parsers.

Benutzerdefinierten Parser mit KI erstellen

Mit „Parser mit KI erstellen“ wird ein vollständiger benutzerdefinierter Parser für eine Logquelle von Grund auf neu erstellt. Sie wählen einen Logtyp aus und geben optional Links zur Logdokumentation des Anbieters an. Der Parser-Agent nimmt Stichproben Ihrer aufgenommenen Logs, untersucht das Logschema, plant die Zuordnung von Rohfeldern zu UDM und schreibt den Parsercode in JavaScript. Anschließend prüfen Sie das Ergebnis und verfeinern es mit einfachen Anweisungen, die sich auf Rohfeldnamen und UDM-Felder beziehen. Wenn die Ausgabe bereit ist, reichen Sie den Parser wie jeden anderen benutzerdefinierten Parser ein.

Mit der KI-basierten Generierung benutzerdefinierter Parser können Sie Folgendes tun:

  • Logquelle einbinden, für die kein vordefinierter Parser vorhanden ist oder deren vordefinierter Parser nicht zu Ihrem Logformat passt.
  • Erstellen Sie einen vollständigen Parser, der alle unterschiedlichen Logformate in Ihren aufgenommenen Daten abdeckt, anstatt nur ein einzelnes Beispiel zu verwenden.
  • Sie können den generierten Parser durch Folge-Prompts optimieren, ohne selbst Parsercode schreiben zu müssen.

KI-generierten benutzerdefinierten Parser starten

  1. Rufen Sie in Google SecOps die SIEM-Einstellungen > Parser auf.
  2. Klicken Sie auf Neuen Parser hinzufügen.
  3. Wählen Sie im Dialogfeld Neuen benutzerdefinierten Parser erstellen die Logquelle aus, die Sie parsen möchten (z. B. GCP DNS).
  4. Wählen Sie unter Wie erstellen Sie den Parser? die Option Parser mit KI erstellen aus.
  5. Klicken Sie auf Erstellen.

Produktdokumentation hinzufügen und Generierung starten

  1. Optional: Fügen Sie im Bereich Parser-Agent im Feld Produktlink hinzufügen einen Link zur Logdokumentation des Anbieters ein und klicken Sie auf Hinzufügen. Du kannst bis zu fünf Links hinzufügen. Der Zähler Dokumentation zeigt an, wie viele Links Sie hinzugefügt haben.
  2. Klicken Sie auf Parser generieren.

Beachten Sie die folgenden Richtlinien bei der Auswahl von Dokumentlinks, um die Feldabdeckung im generierten Parser zu verbessern:

  • Geben Sie nur öffentliche Links zur Anbieterdokumentation an. Wenn ein Link privat oder nicht zugänglich ist, ignoriert der Parser-Agent den Link und sucht stattdessen im Web, ohne dass die Generierung fehlschlägt.
  • Link zu Seiten, auf denen Protokollfelder und Ereignistypen beschrieben werden, z. B. ein Protokollschema, ein Feldverzeichnis oder eine Ereignisreferenz. Vermeiden Sie Marketingseiten oder Produktübersichten.
  • Wählen Sie Seiten aus, die dem Logformat entsprechen, das Sie aufnehmen. Wenn Sie beispielsweise JSON-Audit-Logs aufnehmen, verlinken Sie auf die JSON-Audit-Log-Referenz und nicht auf die Syslog-Referenz.
  • Fügen Sie für jede Ereigniskategorie einen Link hinzu, wenn der Anbieter verschiedene Ereigniskategorien auf separaten Seiten dokumentiert (z. B. DNS-Abfragen, Firewall-Ereignisse und Administratoraktivitäten).

Fortschritt der Generierung verfolgen

Wenn die Generierung des benutzerdefinierten Parsers beginnt, ändert sich der Status in GENERIERUNG LÄUFT. Der Generierungsprozess besteht aus den folgenden Phasen:

Phase Aktion des KI-Agenten Ausgabe an die nächste Phase übergeben
Rohlogs abrufen Der Agent nimmt Stichproben Ihrer aufgenommenen Logs für den Logtyp. Die Logs werden geclustert, um eine Reihe von Beispiel-Logs auszuwählen, die jedes eindeutige Logformat und jede Ereignisform abdecken. Repräsentative Beispiellogs
Forschungsdokumentation Der KI-Agent liest die von Ihnen angegebenen Dokumentlinks oder sucht im Web, wenn Sie keine Links angegeben haben. Diese Informationen werden mit den Beispielprotokollen kombiniert, um ein Protokollschema und ein Feldverzeichnis zu erstellen. Protokollschema und Feldverzeichnis
Zuordnungsplan erstellen Der Agent identifiziert jeden Ereignistyp in den Logs und plant, wie jedes Rohlogfeld dem entsprechenden UDM-Feld zugeordnet wird. Zuordnungsplan vom Rohfeld zum UDM-Feld für jeden Ereignistyp
Parser-Code generieren Der Agent wandelt den Zuordnungsplan in JavaScript-Parser-Code um. Der Code wird mit den Beispiellogs getestet und Fehler werden behoben, bis der Parser fehlerfrei ausgeführt wird. Parser, der zur Überprüfung bereit ist

Wenn die Parsergenerierung fehlschlägt, weil keine Logs für den ausgewählten Logtyp gefunden werden, nehmen Sie Rohlogs für diesen Logtyp auf, bevor Sie die Generierung noch einmal starten. Bei anderen Fehlern bei der Generierung sind keine Optionen für die manuelle Selektierung verfügbar. Eine neue Generierungssitzung starten. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support, um eine Supportanfrage zu stellen.

Benutzerdefinierten Parser prüfen und optimieren

Wenn die Erstellung des benutzerdefinierten Parsers abgeschlossen ist, ändert sich der Status in KI-GENERIERT und auf der Seite werden die folgenden Bereiche angezeigt:

  • Parser-Agent: Zeigt das Prompt-Feld Parser mit KI optimieren an, in das Sie weiterführende Anweisungen eingeben können.
  • Parsercode: Zeigt den generierten JavaScript-Parsercode zur Überprüfung an. Der generierte Code ist vor dem Senden schreibgeschützt. Wenn Sie die Logik ändern möchten, geben Sie einen Prompt in das Feld Parser mit KI optimieren ein.
  • Rohlog: Zeigt Beispiel-Rohlogs für den Logtyp an. Sie können auf Bearbeiten klicken, um eine eigene Logzeile einzufügen, oder auf Aktualisieren, um andere Beispiele zu laden.
  • UDM-Ausgabe anzeigen: Führt den aktuellen Parsercode für das Rohlog aus und zeigt das resultierende UDM-Ereignis an, damit Sie jede Zuordnung prüfen können.

Generierte Ausgabe prüfen

Prüfen Sie vor dem Aktivieren des Parsers die generierten Zuordnungen in Ihren Beispielprotokollen:

  1. Laden Sie mehrere Rohlogs, einschließlich aller Ereignistypen, die Sie parsen möchten, und klicken Sie für jedes Log auf UDM-Ausgabe anzeigen.
  2. Prüfen Sie, ob der Parser Rohprotokollfelder den entsprechenden UDM-Feldern zuordnet und ihre Werte korrekt ausfüllt (z. B. Ereignismetadaten, Entitätsfelder wie principal und target sowie Felder für Sicherheitsergebnisse).
  3. Prüfen Sie, ob wichtige Rohfelder nicht zugeordnet sind.

Benutzerdefinierten Parser mit KI optimieren

Wenn eine Zuordnung falsch ist oder fehlt, geben Sie eine Anweisung in das Feld Parser mit KI optimieren ein und klicken Sie auf Bestätigen. Der Parser-Agent aktualisiert den vorhandenen Parser, anstatt von vorn zu beginnen, und behält alle Zuordnungen bei, die Sie nicht erwähnt haben. Bei jeder Optimierung wird eine neue Version des Parsercodes erstellt, die Sie prüfen können.

Beachten Sie die folgenden Richtlinien, um effektive Prompts zur Optimierung zu erstellen:

  1. Geben Sie sowohl das Rohquellfeld (oder einen Beispielwert aus dem Log) als auch den genauen UDM-Zielfeldpfad an.
  2. Gruppieren Sie zusammengehörige Änderungen und vermeiden Sie es, nicht zusammenhängende Korrekturen in einem einzigen langen Prompt zu mischen.
  3. Setzen Sie genaue Strings aus dem Rohprotokoll in einfache Anführungszeichen, z. B. 'NXDOMAIN' oder 'allow'.
  4. Geben Sie bedingte Zuordnungen explizit mit einer if ... then ... otherwise ...-Struktur an, wenn eine Zuordnung von einem Feldwert abhängt.
  5. Weisen Sie den Agent an, herstellerspezifische Attribute, die kein passendes UDM-Feld haben, mit einem eindeutigen Schlüsselnamen additional.fields zuzuordnen.

Die folgende Tabelle enthält Beispiele für Optimierungs-Prompts für GCP DNS-Logs:

Ziel Beispielprompt
Falsche Zuordnung korrigieren "Map jsonPayload.sourceIP to principal.ip instead of target.ip."
Fehlendes Feld hinzufügen "Map jsonPayload.vmInstanceName to principal.hostname."
Verschachtelten oder wiederholten Wert zuordnen "Map jsonPayload.queryName to network.dns.questions.name and jsonPayload.queryType to network.dns.questions.type."
Bedingte Logik anwenden "If jsonPayload.responseCode is 'NXDOMAIN', set security_result.summary to 'Domain does not exist'. Otherwise, leave it empty."
Ereignistyp festlegen "Set metadata.event_type to NETWORK_DNS for all DNS query logs."
Anbieterspezifisches Feld zuordnen "Map jsonPayload.alias_query_response_code to additional.fields with key 'alias_query_response_code'."
Zuordnung entfernen "Stop mapping jsonPayload.protocol to network.application_protocol."

Benutzerdefinierten Parser einreichen und aktivieren

Wenn die UDM-Ausgabe korrekt ist, klicken Sie auf Senden, um den generierten benutzerdefinierten Parser zu speichern und zu aktivieren.

Wenn Sie den Parserentwurf stattdessen verwerfen möchten, klicken Sie auf Verwerfen. Wenn Sie einen gespeicherten, KI-generierten benutzerdefinierten Parser später entfernen möchten, öffnen Sie den Parser und klicken Sie unter Benutzerdefinierten Parser löschen auf Löschen.

Fehlerbehebung bei der Generierung benutzerdefinierter KI-Parser

In der folgenden Tabelle sind häufige Probleme aufgeführt, die beim Erstellen eines benutzerdefinierten Parsers mit KI auftreten können, sowie entsprechende Lösungen:

Problem oder Symptom Lösung
Die Option Parser mit KI erstellen wird nicht angezeigt. Die Funktion ist für Ihre Instanz nicht aktiviert. Wenden Sie sich an Ihren Google SecOps-Ansprechpartner.
Die Generierung schlägt fehl, weil für den Logtyp keine Logs gefunden werden. Der Parser-Agent benötigt aufgenommene Rohlogs für den ausgewählten Logtyp. Nehmen Sie Rohlogs für den Logtyp auf, bevor Sie die Generierung noch einmal starten.
Die Generierung schlägt aus einem anderen Grund fehl. Für eine fehlgeschlagene Generierung sind keine Optionen für die manuelle Selektierung verfügbar. Lösen Sie die Generierung noch einmal aus. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Support, um eine Supportanfrage zu stellen.
Die Generierung dauert sehr lange. Die Generierung dauert in der Regel 30 bis 90 Minuten. Komplexe Logquellen mit vielen verschiedenen Formaten oder großen Schemas dauern länger. Sie können die Seite schließen und später zu den SIEM-Einstellungen > Parser zurückkehren.
Viele Felder bleiben unzugeordnet. Fügen Sie Dokumentlink-Links hinzu, die die Logfelder beschreiben, und starten Sie eine neue Sitzung oder verwenden Sie Verfeinerungs-Prompts, um die fehlenden Felder zuzuordnen.
Ein Optimierungs-Prompt hat eine nicht zugehörige Zuordnung geändert. Beschreiben Sie die Korrektur in einem Folgeprompt (z. B. "Revert the change to principal.ip and map jsonPayload.sourceIP to it again."). Alternativ können Sie den Parser senden und aktivieren, um den Code manuell zu bearbeiten.
Einige Logs können in UDM-Ausgabe anzeigen nicht geparst werden. Fügen Sie das fehlerhafte Log in den Bereich Raw Log (Rohes Log) ein und senden Sie einen Prompt zur Verfeinerung, der den nicht geparsten Teil des Logs enthält.

Parsererweiterung mit KI erstellen

Wenn ein Standard-Log-Parser in Google SecOps Ihre Logquelle parst, werden möglicherweise kundenspezifische benutzerdefinierte Attribute, optionale Felder oder spezielle Telemetriedaten weggelassen. Mit KI-Parser-Erweiterungen (Mit KI erweitern) können Sie Folgendes tun:

  • Zusätzliche Felder aus Rohlogs extrahieren und sie Standard-UDM-Feldern oder benutzerdefinierten additional.fields zuordnen.
  • Bedingte Logik und Werttransformationen anwenden, z. B. Stringaktionen zu UDM-Aufzählungstypen zuordnen.
  • Sie können generierte Erweiterungen interaktiv in Unterhaltungen in mehreren Runden verfeinern, ohne von vorn beginnen zu müssen.

Best Practices für das Erstellen von Prompts

Beachten Sie die folgenden Richtlinien für Prompts, um genaue Parser-Erweiterungen zu erhalten:

  1. Geben Sie genau an, welcher Teil des Rohlogs extrahiert werden soll und welcher UDM-Feldpfad damit gefüllt wird (z. B. principal.ip, target.user.email_addresses oder security_result.action).
  2. Setzen Sie Stringliterale, Trennzeichen oder Beispielwerte in unstrukturierten Logs in einfache Anführungszeichen, z. B. '198.51.100.0' oder 'allow'.
  3. Weisen Sie die KI an, proprietäre oder anbieterspezifische Attribute, die kein dediziertes UDM-Feld haben, mit einem eindeutigen Schlüsselnamen (z. B. additional.fields["application"]) in additional.fields zuzuordnen.

Parser-Erweiterung generieren

Sie können den Workflow für die Parser-Erweiterung an einer der folgenden Stellen in Google SecOps starten:

  • Rufen Sie die SIEM-Einstellungen > Parser auf, um einen vorhandenen Logparser auszuwählen und zu erweitern.
  • Öffnen Sie den Ablauf zum Erstellen von Erweiterungen direkt über ein Ereignis mit nicht geparsten Feldern, wenn Sie Protokolle auf der Seite Suchen untersuchen.

So generieren Sie eine Parser-Erweiterung auf der Seite Parser:

  1. Rufen Sie in Google SecOps die SIEM-Einstellungen > Parser auf.
  2. Suchen Sie in der Tabelle Parser nach dem Logtyp, den Sie erweitern möchten.
  3. Klicken Sie in der Zeile für den Parser auf das Menü und wählen Sie Parser erweitern > Erweiterung erstellen aus.
  4. Prüfen Sie im Bereich Rohprotokoll das Beispielrohprotokoll oder klicken Sie auf Bearbeiten, um ein Beispiel des Protokolls einzufügen, das Sie parsen möchten.
  5. Wählen Sie im Bereich Erweiterung unter Erweiterungsmethode die Option Erweiterung mit KI schreiben aus.
  6. Geben Sie im Prompt-Feld eine Beschreibung der Felder ein, die Sie extrahieren möchten.

  7. Klicken Sie auf Bestätigen.

    Das System generiert den Erweiterungscode und aktualisiert den Bereich UDM-Ausgabe.

Parser-Erweiterung optimieren

Sie können Ihre Parser-Erweiterung iterativ über Unterhaltungen in mehreren Runden hinweg erstellen und verfeinern. Wenn Sie einen Folgeprompt senden, wendet die KI Ihre neuen Anweisungen auf die zuvor generierte Erweiterung an. Vorhandene Zuordnungen und bedingte Logik aus früheren Schritten werden automatisch beibehalten, sofern Sie nicht ausdrücklich darum bitten, sie zu überschreiben oder zu entfernen.

  1. Geben Sie im Prompt-Feld eine weiterführende Anweisung ein, um den generierten Code anzupassen.
  2. Klicken Sie auf Bestätigen.
  3. Sehen Sie sich nach jedem Prompt eine Vorschau des generierten Erweiterungscodes an, prüfen Sie die UDM-Beispielausgaben und bestätigen oder passen Sie die Logik an.

Der folgende Beispielworkflow zeigt, wie durch iterative Verfeinerung eine Parsererweiterung über mehrere Durchgänge hinweg erstellt wird:

  1. Runde 1 (erste Extraktion):
    • Nutzer-Prompt: "Extract source IP '198.51.100.0' to principal.ip and destination IP '198.51.100.1' to target.ip."
    • Ergebnis: Die KI generiert eine Erweiterungszuordnung für principal.ip und target.ip.
  2. Runde 2 (additives Mapping):
    • Nutzer-Prompt: "Also map virtual system string 'vsys1' to observer.administrative_domain."
    • Ergebnis: Die KI aktualisiert die Erweiterung, um observer.administrative_domain zuzuordnen, und behält die IP-Zuordnungen aus Runde 1 bei.
  3. Runde 3 (bedingte Optimierung):
    • Nutzer-Prompt: "In addition, map action string 'allow' to security_result[0].action as ALLOW."
    • Ergebnis: Die KI bezieht die Zuordnung der Aufzählung für die bedingte Aktion zusätzlich zu allen vorherigen Extraktionen ein.

Parser-Erweiterung validieren

  1. Klicken Sie auf Validieren.
  2. Prüfen Sie die Validierungsmesswerte nach Abschluss des Vorgangs.

Auf Referenzinformationen zugreifen

Anhand der folgenden Beispiele können Sie genaue Prompts für Parser-Erweiterungen erstellen.

Prompts für strukturierte Logs

Geben Sie bei strukturierten Logs, in denen Daten in benannten Schlüsseln, Attributen oder XML-Tags organisiert sind, die Feldnamen oder Pfade in Ihrem Prompt an.

Beispiel für ein strukturiertes Log im JSON-Format
{
  "insertId": "u0mlpdesys",
  "logName": "projects/sample-project-id/logs/cloudaudit.googleapis.com%2Fdata_access",
  "protoPayload": {
    "authenticationInfo": {
      "principalEmail": "analyst@example-domain.com"
    },
    "methodName": "GenerateAccessToken",
    "requestMetadata": {
      "callerIp": "203.0.113.195",
      "callerSuppliedUserAgent": "google-cloud-sdk gcloud/392.0.0"
    },
    "resourceName": "projects/-/serviceAccounts/110649196922301550006",
    "serviceName": "iamcredentials.googleapis.com"
  }
}
Prompt-Beispiele für strukturierte Logs
Prompt-Anweisung Quellfeld oder -schlüssel UDM-Zielfeld
"Map principalEmail to principal.user.email_addresses." principalEmail principal.user.email_addresses
"Extract callerIp to principal.ip and methodName to metadata.product_event_type." callerIp, methodName principal.ip, metadata.product_event_type
"Map resourceName to target.resource.name and serviceName to target.application." resourceName, serviceName target.resource.name, target.application
"From XML tags, map /Event/System/Hostname to principal.hostname." /Event/System/Hostname principal.hostname

Prompts für unstrukturierte Logs

Geben Sie für unstrukturierte Logs Literalwerte direkt aus dem Beispiel-Log, Positionsreferenzen oder beschreibende Labels an.

Beispiel für eine unstrukturierte Syslog-Nachricht
<14>Nov  9 18:52:45 198.51.100.1 1,2021/11/09 18:52:45,007051000184334,TRAFFIC,start,2561,2021/11/09 18:52:45,198.51.100.0,198.51.100.1,0.0.0.0,0.0.0.0,any allow,,,ping,vsys1,LAN,LAN,ethernet1/2,ethernet1/2,LFPpan,2021/11/09 18:52:45,9729,6,0,0,2048,0,0x100000,icmp,allow,444,444,0,6
Prompt-Beispiele für unstrukturierte Logs
Prompt-Anweisung Beispiel für Literalwert oder Beschreibung UDM-Zielfeld
"Extract source IP '198.51.100.0' to principal.ip and destination IP '198.51.100.1' to target.ip." '198.51.100.0', '198.51.100.1' principal.ip, target.ip
"Extract the application string 'ping' from the log and map it to additional.fields['application']." 'ping' additional.fields["application"]
"Map rule name 'any allow' to security_result.rule_id." 'any allow' security_result[0].rule_id
"Extract sent bytes and received bytes into network.sent_bytes and network.received_bytes." Numerische Byte-Zähler im Log network.sent_bytes, network.received_bytes

Prompts mit bedingter Logik

Bedingte Logik beschreiben, um Rohlogwerte auf bestimmte UDM-Aufzählungen zu normalisieren.

  • Normalisierung von Aufzählungen: "If the firewall action in the log is 'allow', set security_result.action to ALLOW; otherwise set security_result.action to BLOCK."
  • Bedingte Feldzuordnung: "If the protocol is 'icmp', map the ICMP type and code into network.icmp.type and network.icmp.code."
  • Statuszuordnung: "When the log status contains 'success' or '0', set security_result.severity to INFO; if it contains 'error', set it to ERROR."

Nutzungslimits

Um eine optimale Leistung und Ressourcenverfügbarkeit zu gewährleisten, gelten für die KI-Parsing-Funktionen die folgenden Standardnutzungskontingente:

  • Sie können innerhalb eines rollierenden 24-Stunden-Zeitraums bis zu 10 Sitzungen zur Generierung von benutzerdefinierten KI-Parsern oder KI-Parser-Erweiterungen pro Instanz starten. Bei benutzerdefinierten Parsern wird bei jedem Klick auf Parser generieren für einen neuen Parser eine Sitzung gestartet.
  • Für jede Sitzung gelten die folgenden Interaktionslimits:
    • Für die KI-basierte Erstellung benutzerdefinierter Parser werden pro Sitzung insgesamt bis zu 6 Runden unterstützt. Dazu gehören die erste Erstellung und bis zu 5 Prompts zur Verfeinerung.
    • Bei KI-Parser-Erweiterungen werden pro Sitzung insgesamt bis zu 5 Nachrichten unterstützt, einschließlich Ihres ersten Prompts und nachfolgender Verfeinerungen.

Wenn Sie das Limit für die Anzahl der Turns oder Nachrichten für eine Sitzung erreichen, können Sie Ihre aktuelle Arbeit einreichen oder speichern oder eine neue Sitzung starten (vorbehaltlich des täglichen Sitzungskontingents). Bei benutzerdefinierten Parsern können Sie den Code nach dem Senden und Aktivieren des Parsers manuell bearbeiten, wie bei jedem anderen benutzerdefinierten Parser auch.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten