Gerenciar opções de analisador de autoatendimento
O modelo de dados unificado (UDM, na sigla em inglês) da plataforma Google Security Operations oferece suporte abrangente à detecção de ameaças e à normalização de dados. O Google SecOps desenvolve e atualiza ativamente analisadores pré-criados para muitos produtos comerciais. No entanto, um nível de serviço rigoroso rege as solicitações personalizadas: o Google Engineering processa solicitações de novos analisadores ou mapeamento de campos adicionais em analisadores atuais da melhor maneira possível. Consulte e entenda os níveis de suporte do analisador para mais detalhes.
Para alcançar os melhores resultados, incluindo controle imediato sobre a ingestão de registros, tempo de valorização mais rápido e implantação instantânea de atualizações, aproveite as seguintes opções de autoatendimento.
Opções de autoatendimento recomendadas
| Caso de uso | Capacidade recomendada | Benefícios |
|---|---|---|
| Nova origem do registro (específica do locatário) | Tipos de registro personalizados | Integre rapidamente fluxos de dados exclusivos ou altamente personalizados sem precisar da revisão do Google. |
| Extração de campos adicionais (JSON/XML) | Extração automática | Identifique e extraia automaticamente novos campos de registros estruturados (JSON, XML) com configuração mínima. |
| Mapeamento de UDM personalizado ou não JSON/XML | Extensões de analisadores | Tenha controle granular e preciso sobre a lógica de extração e garanta que campos específicos sejam mapeados corretamente para o UDM, para máxima eficácia de pesquisa e detecção. |
| Criação de um novo analisador completo | Opção A: extração automática ou opção B: analisador totalmente personalizado | A:caminho mais simples e rápido para registros estruturados. B:oferece propriedade completa e capacidade de atualização instantânea para registros complexos. |
Casos de uso detalhados para autoatendimento
Esta seção oferece cenários e orientações práticas para ajudar você a selecionar a ferramenta de autoatendimento mais eficaz para suas necessidades específicas de analisador ou ingestão de dados.
Tipos de registro personalizados para fontes somente de locatário
Se você precisar ingerir um novo tipo de registro, mesmo que o produto comercial seja conhecido, mas o formato de registro seja específico e destinado apenas ao uso no seu locatário, use o recurso de autoatendimento para tipos de registro personalizados.
Essa abordagem permite registrar rapidamente seu formato de registro exclusivo no seu ambiente, evitando a necessidade de um analisador global que exigiria revisão e implantação extensivas pelo Google.
Para mais informações sobre como criar um tipo de registro personalizado, consulte Tipos de registro personalizados.
Melhorar os analisadores atuais com a extração automática (JSON/XML)
Se você estiver usando um analisador atual para registros no formato JSON ou XML e quiser extrair campos adicionais que não estão sendo analisados no momento, use extração automática.
A extração automática verifica dinamicamente seus registros estruturados para identificar campos não mapeados, permitindo que você enriqueça instantaneamente seus registros de UDM sem exigir mudanças de código no analisador de base.
Para mais informações sobre os recursos de extração automática, consulte Visão geral da extração automática.
Ajustar a extração e o mapeamento de UDM com extensões de analisadores
Se os registros estiverem em um formato diferente de JSON ou XML ou se você precisar de controle preciso sobre como os campos extraídos são mapeados para campos de UDM específicos, você deve usar extensões de analisadores.
As extensões de analisadores fornecem um mecanismo eficiente para modificar, estender ou substituir a lógica dos analisadores atuais. Elas são a escolha ideal quando você precisa:
- Mapear campos que não são identificados automaticamente.
- Aplicar lógica personalizada para reformatar valores de campo.
- Garantir a normalização precisa dos dados para o padrão UDM.
Para mais informações sobre a implementação de extensões de analisadores, consulte Extensões de analisadores e Exemplos de extensões de analisadores.
Criar um novo analisador para uma nova origem do registro
Ao integrar uma origem do registro totalmente nova, use uma destas opções de autoatendimento, ordenadas por complexidade:
Opção 1: extração automática (simples)
A extração automática é o caminho recomendado e mais simples para registros estruturados (JSON/XML). Quando a nova origem do registro está em um formato estruturado, a extração automática confirma que todos os campos são analisados imediatamente e estão prontos para a ingestão de UDM com o mínimo de esforço de configuração.
Para mais informações sobre como usar esse recurso, consulte Visão geral da extração automática.
Opção 2: analisador totalmente personalizado (avançado)
Essa opção é mais adequada para formatos de registro complexos ou exclusivos. Se os registros forem complexos, não estruturados ou exigirem padrões de regex específicos para extração, você poderá criar um analisador totalmente personalizado. Isso concede a você a propriedade completa da lógica do analisador e permite atualizações e iterações instantâneas.
Para mais informações sobre como gerenciar analisadores totalmente personalizados, consulte Analisadores personalizados.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.