セルフサービス パーサーのオプションを管理する
Google Security Operations プラットフォームの統合データモデル（UDM）は、 脅威検出とデータの正規化を包括的にサポートしています。 Google SecOps は、 多くの商用製品向けに構築済みパーサーを積極的に開発し、更新しています。ただし、カスタム リクエストには厳格なサービスレベルが適用されます。Google エンジニアリングは、新しいパーサーのリクエストや、既存のパーサーへの追加の フィールド マッピングのリクエストを、ベスト エフォートで処理します。 詳細については、パーサーのサポートレベルをご確認ください。
ログの取り込みを即座に制御できる、 価値実現までの時間を短縮できる、更新を即座にデプロイできるなど、最良の結果を得るには、次のセルフサービス オプション を活用する必要があります。
おすすめのセルフサービス オプション
| ユースケース | 推奨される機能 | 特典 |
|---|---|---|
| 新しいログソース（テナント固有） | カスタム ログタイプ | Google の審査を受けることなく、一意のデータ ストリームや高度にカスタマイズされたデータ ストリームを迅速にオンボーディングできます。 |
| 追加のフィールドの抽出（JSON/XML） | 自動抽出 | 最小限の構成で、構造化ログ （JSON、XML）から新しいフィールドを自動的に識別して抽出します。 |
| カスタム UDM マッピングまたは非 JSON/XML | パーサー拡張機能 | 抽出ロジックをきめ細かく正確に制御し、 特定のフィールドが UDM に正しくマッピングされるようにすることで、検索と 検出の効果を最大限に高めます。 |
| 完全に新しいパーサーの作成 | オプション A: 自動抽出またはオプション B: 完全カスタム パーサー | A: 構造化ログの最も簡単かつ迅速なパス。 B: 複雑なログの完全な所有権と即時更新機能を提供します。 |
セルフサービスの詳細なユースケース
このセクションでは、特定のパーサーまたはデータ取り込みの ニーズに最適なセルフサービス ツールを選択するのに役立つシナリオと実践的なガイダンスを提供します。
テナント専用ソースのカスタム ログタイプ
新しいログタイプを取り込む必要がある場合（商用製品が よく知られている場合でも）、ログ形式が固有で、テナント内でのみ使用することを目的としている場合は、カスタム ログタイプ のセルフサービス機能を使用する必要があります。
このアプローチでは、 環境内で一意のログ形式を迅速に登録できます。Google による広範な 審査とデプロイが必要となるグローバル パーサーは必要ありません。
カスタム ログタイプの作成方法について詳しくは、 カスタム ログタイプをご覧ください。
自動抽出（JSON/XML）で既存のパーサーを強化する
JSON 形式または XML 形式のログに既存のパーサーを使用しており、現在解析されていない追加のフィールドを抽出する場合は、 自動抽出 を使用する必要があります。
自動抽出は、構造化ログを動的にスキャンしてマッピングされていない フィールドを識別します。これにより、ベースパーサーのコードを 変更することなく、UDM レコードを即座に強化できます。
自動抽出機能の詳細については、 自動抽出の概要をご覧ください。
パーサー拡張機能を使用して抽出と UDM マッピングを微調整する
ログの形式が JSON または XML と異なる場合、または抽出されたフィールドを特定の UDM フィールドにマッピングする方法を 正確に制御する必要がある場合は、 パーサー拡張機能を使用する必要があります。
パーサー拡張機能は、既存のパーサーの ロジックを変更、拡張、オーバーライドするための強力なメカニズムを提供します。次のような場合に最適です。
- 自動的に識別されないフィールドをマッピングする。
- カスタム ロジックを適用してフィールド値を再フォーマットする。
- UDM 標準への正確なデータ正規化を確保する。
パーサー拡張機能の実装について詳しくは、 パーサー拡張機能 とパーサー拡張機能の例をご覧ください。
新しいログソースの新しいパーサーを作成する
完全に新しいログソースをオンボーディングする場合は、次の セルフサービス オプションのいずれかを使用します（複雑さの順）。
オプション 1: 自動抽出（シンプル）:
自動抽出は、 構造化ログ（JSON/XML）におすすめの最も簡単な方法です。新しいログソースが構造化 形式の場合、自動抽出により、最小限の構成で、すべてのフィールドがすぐに解析され、 UDM の取り込みの準備が整っていることを確認できます。
この機能の使用方法について詳しくは、自動抽出の概要をご覧ください。
オプション 2: 完全カスタム パーサー（高度）:
このオプションは、複雑なログ形式または一意のログ形式に最適です。ログが 複雑で構造化されていない場合や、抽出に特定の正規表現パターンが必要な場合は、 完全カスタム パーサーを独自に作成できます。これにより、パーサーのロジックを完全に 所有し、即座に更新して反復処理を行うことができます。
完全カスタム パーサーの管理方法について詳しくは、 カスタム パーサーをご覧ください。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。