הטמעת מנתחי נתונים של הקהילה ב-GitHub

נתמך ב:

ב-Google Security Operations נעשה שימוש במאגר קוד פתוח ב-GitHub כדי לאפשר שיתוף פעולה בין הקהילה, השותפים והלקוחות בפיתוח ובתחזוקה של מנתחי נתונים. המאגר הזה מאפשר לקהילה לתרום להרחבה ולתחזוקה של קבוצת המנתחים הזמינים ל-Google SecOps.

יעדים

  • הפעלת הצעות תוכן מהקהילה: מאפשרת למשתמשים, לשותפים וללקוחות חיצוניים להציע מנתחי נתונים חדשים ומעודכנים לקהילה.
  • הטמעה קלה: המשתמשים יכולים להטמיע מנתחים של הקהילה במופעים של המנתחים המותאמים אישית שלהם.
  • שמירה על האיכות: חשוב להקפיד על מסגרת קפדנית של בדיקות ואימות כדי לוודא את האבטחה והאיכות הפונקציונלית של כל התרומות לפני הפרסום.

לפני שמתחילים

  • מוודאים שיש לכם את ההרשאה chronicle.parsers.create, שהיא חלק מהתפקיד chronicle.admin ב-IAM.
  • כדי לתרום למנתחי קהילה, צריך לחתום על הסכם רישיון לתורמים (CLA). פרטים מלאים זמינים במאמר חתימה על הסכם הרישיון לתורמים.

מבנה המאגר

כל המנתחים מאורגנים בספרייה parsers/ ברמה העליונה באזור Content Hub במאגר ב-GitHub. לכל מקור יומן יש ספריית משנה ייעודית משלו.

content-hub/
└── content/
    └── parsers/
        ├── third_party/
        │   ├── community/
        │   │   ├── VENDOR1_PRODUCT1/cbn/
        │   │   └── VENDOR2_PRODUCT2/cbn/
        │   ├── partnerA/
        │   │   └── VENDOR1_PRODUCT1/cbn/
        │   └── partnerB/
        │        └── VENDOR1_PRODUCT1/cbn/
        ...

מוסכמות למתן שמות לתיקיות

מוסכמות מתן השמות לתיקיות של כל תיקיות המשנה במאגר third_party/community/parser מוגדרות באופן קפדני. התקנים האלה מבטיחים תאימות של המערכת, יכולת גילוי ללקוחות והתאמה למוסכמות הפנימיות של Google SecOps.

יצירת מנתח קהילתי ב-GitHub

בקטע הבא מוסבר איך ליצור ולנהל מנתחי קהילה.

איתור והורדה של מנתחי קהילה

  1. עוברים לתיקייה של סוג היומן הרלוונטי.
  2. בודקים את הקובץ metadata.json כדי לחפש הפניות שקשורות למקורות היומן שנתמכים על ידי המנתח.
  3. מורידים את הקובץ parser.conf שמכיל את הלוגיקה של מנתח הליבה בתחביר CBN.

פריסת מנתחי קהילה ב-Google SecOps

בשלב הבא מוסבר איך להעתיק מנתח של הקהילה ולהמיר אותו למופע של מנתח מותאם אישית משלכם. אחרי הפריסה, המנתח פועל כמנתח מותאם אישית שאתם מתחזקים.

  • ב-Google SecOps, מעלים או מדביקים את התוכן של קובץ ה-parser.conf שהורדתם בשדות המתאימים בדף Create Parser בקטע Settings > ניהול נתונים > Parsers. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > מנתחי נתונים.

אימות המנתח המותאם אישית

אחרי שפורסים את המנתח במכונה של Google SecOps, אימותים מובנים של מנתחים מותאמים אישית מופעלים באופן אוטומטי כדי לבדוק אם יש כשלים פוטנציאליים בצינור עיבוד הנתונים או בעיות בנורמליזציה. אם האימותים האלה נכשלים, צריך לתקן את הלוגיקה של המנתח או לשנות את העותק של המנתח כך שיתאים לתרחיש לדוגמה הספציפי שלכם. אנחנו מעודדים אתכם לתרום תיקונים או שיפורים למאגר הקהילה ולהיות משתתפים פעילים בקהילת הקוד הפתוח.

מידע מפורט על הוספת מנתחי נתונים חדשים או עדכון של מנתחי נתונים קיימים ב-GitHub זמין בהוראות למנתח נתונים ב-GitHub.

אם נתקלתם בבעיות בשילוב, פתחו פנייה ב-GitHub. מנתחי הנתונים של הקהילה לא נכללים בתמיכה של Google.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.