標準パーサーのサポート ポリシー
Google SecOps には、さまざまなデータソースからログを迅速に取り込んで正規化できる、事前構築済みの標準パーサーが豊富に用意されています。プラットフォームの安定性、予測可能なパフォーマンス、高品質のデータ正規化を確認するため、Google SecOps では標準パーサーに重点を置いたサポートモデルを使用しています。
パーサーのサポートレベル
Google SecOps では、次のレベルのパーサー サポートを提供しています。
| パーサーのタイプ | 説明とサポート |
|---|---|
| プレミアム パーサー | Google SecOps は、最も広く使用されている大容量のデータソースから高品質のパーサーを提供します。通常、Google はプレミアム パーサーに関するお客様のリクエストを数日以内に処理します。 |
| 標準パーサー | サポートされている他のデータソースについては、Google SecOps はベスト エフォート型のサポートを提供します。新しいフィールド マッピングのリクエストは機能リクエストとして処理され、プロダクト バックログの一部となります。緊急のニーズに対応するには、セルフサービス パーサー拡張機能と自動抽出機能を使用できます。 |
| カスタムビルドのパーサーと拡張機能 | Google SecOps はこれらのサポートを提供していません。これらは、単独で管理するか、Google パートナーのサポートを受けて管理することをおすすめします。 |
プレミアム パーサーと標準パーサーの完全なリストについては、デフォルト パーサーの構成をご覧ください。
未加工のログを統合データモデル（UDM）形式に解析する概要については、ログ解析の概要をご覧ください。
重要な UDM フィールドに焦点を当てる
Google SecOps は、さまざまなログ形式で取り込まれた 100 万を超える個別のフィールドの中から、最も重要なセキュリティ データに標準パーサーのデフォルト マッピングを絞り込んでいます。
標準パーサーは、重要な UDM フィールドをマッピングするように特別にスコープ設定されています。これらのフィールドは、効果的なダウンストリームの脅威検出とコンテキストに必要な最も重要なデータポイントを表します。このコアリストに含まれないフィールドについては、パーサー拡張機能や自動抽出などの包括的なセルフサービス ツールを使用してマッピングすることをおすすめします。
カスタマー サポートのティア
パーサーのサポートと SLO は、Google SecOps の権限に基づいて区別されます。
- プレミアム サポートのお客様: エキスパートまたはエキスパート+ の権限をお持ちのお客様。
- 標準サポートのお客様: 標準権限をお持ちのお客様。
標準パーサーのリクエスト マトリックス
Google は、リクエストの性質とサポートティアに基づいて、標準パーサーのリクエストをトリアージして処理します。
| リクエストの種類 | 標準のお客様 | エキスパート / エキスパート+ のお客様 |
|---|---|---|
| 回帰 / 破損（解析に大きな回帰効果がある） | 直ちにロールバックまたは修正します。 | 直ちにロールバックまたは修正します。 |
| 新しいパーサーのリクエスト、または既存のパーサーの新しいログ形式 / スキーマのリクエスト | 10 人以上のお客様からリクエストされた場合、または Google のビジネス上の判断に基づいてのみ、デフォルト パーサーとして構築されます。それ以外の場合、リクエストはセルフサービスまたはパートナー / PSO パスにルーティングされます。 | Google の判断に基づいて、デフォルトの事前構築済みパーサーまたは Google SecOps GitHub パーサーとして構築されます。 |
| 「重要なフィールド」がない/正しくない、または「重要でないフィールド」が正しくない | パーサーキューとセルフサービス ツールを使用して処理されます（ベスト エフォート型、SLO なし）。 | パーサーキューで優先されます（SLO は 6 週間）。必要に応じて、すぐに修正するための拡張機能を提供します。 |
| 「重要でないフィールド」がない | セルフサービス式。お客様は、サポート チケットを開くのではなく、セルフサービス ツール（拡張機能、自動抽出）を使用する必要があります。 | パーサーキューとセルフサービス ツールを使用して処理します。必要に応じてハイタッチ サポートを提供します。 |
コミュニティと GitHub のパーサー
ログ解析のエコシステムをより豊かで活気のあるものにするため、Google SecOps は専用の Google SecOps GitHub リポジトリを維持しています。
このオープンソース エコシステムにより、パートナー、ベンダー、Google SecOps コミュニティはパーサーの提供と保守を行うことができます。このロジックにより、ニッチな商用製品や高度に専門化された商用製品でも、デプロイに使用できる機能的なパーサーを利用できます。
使用頻度の低い（ロングテール）事前構築済みパーサー: 高いパフォーマンスを維持し、最も広く使用されているデータソースにエンジニアリング リソースを集中させるため、使用頻度の低い事前構築済みパーサーは GitHub のコミュニティ管理パーサーに移行されます。
- Google は、これらの使用頻度の低いパーサーの事前構築済みバージョンに対して、重要な更新（使用しているお客様の大多数に影響する破壊的変更や正規化の重大な劣化）のみをリリースします。
- これらのパーサーの新しい、重要でない機能強化やフィールドの追加は、GitHub バージョンに直接提供されます。このアプローチにより、これらのパーサーがオープンソース化され、コミュニティがリポジトリに貢献できるようになります。
- これらのパーサーを使用しているお客様は、事前構築済みバージョンのサポート チケットを開くのではなく、GitHub バージョンに移行して、コミュニティと Google が提供する継続的な機能強化を利用することをおすすめします。
さまざまなパーサー バリアントの比較
| 条件 | 事前構築済みパーサー（プレミアム + ロングテール以外の標準パーサー） | GitHub のパーサー - オフロードされたロングテール事前構築済みパーサー | GitHub のパーサー - コミュニティ / パートナーが作成 | カスタム パーサー |
|---|---|---|---|---|
| Ownership | Google 所有 | Google による初期作成、その後コミュニティ / パートナーが所有（パーサーによって異なる） | コミュニティ / パートナーが所有 | 顧客所有 |
| パーサーのデプロイ | 自動的にデプロイされる | お客様がパーサーをプルする必要があります。 | お客様がパーサーをプルする必要があります。 | お客様がデプロイする |
| 変更（パーサーのバージョン） | Google がすべての変更を行う | コミュニティ / パートナーが所有。Google は必要に応じてコードを提供できます。 | コミュニティ / パートナーの貢献に基づいて変更が行われる | お客様がすべての変更を行う |
| ユーザー リクエストのサポート | Google はリクエストをサポートしています。プレミアム - すべて、スタンダード - 重要な UDM フィールドに焦点を当てる | コミュニティ / パートナーが保守。Google は必要に応じてコードを提供できます。 | コミュニティ / パートナーが完全に保守 | お客様が完全に保守 |
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。