Faça a gestão de analisadores predefinidos e personalizados
Vista geral
Este documento fornece orientações sobre como gerir analisadores no Google Security Operations. Detalha como processar atualizações de analisadores predefinidos e personalizados, criar extensões de analisadores e controlar o acesso às funcionalidades de gestão de analisadores:
- Faça a gestão das atualizações do analisador pré-criado
- Faça a gestão de analisadores personalizados
- Crie uma extensão
- Controle o acesso à gestão do analisador
Tipos de analisadores
Compreender os tipos de analisadores e as respetivas funções:
| Tipo de analisador | Descrição |
|---|---|
| Pré-criado | Analisadores criados pela Google SecOps que incluem mapeamentos incorporados para transformar os dados de registo originais em campos UDM. |
| Pré-criado expandido | Um analisador pré-criado pelos clientes com instruções de mapeamento adicionais para extrair dados adicionais de um registo não processado original e inseri-los no registo do UDM. |
| Personalizado | Analisadores criados por clientes com instruções de mapeamento de dados personalizadas para transformar dados de registo originais em campos do UDM. |
| Personalizado alargado | Um analisador personalizado criado pelos clientes com instruções de mapeamento adicionais através de uma extensão do analisador para extrair dados adicionais de um registo não processado original e inseri-los no registo do UDM. |
Níveis de compatibilidade com o analisador
O Google SecOps oferece estes níveis de apoio técnico do analisador:
| Tipo de analisador | Descrição e apoio técnico |
|---|---|
| Analisadores premium | O Google SecOps fornece analisadores de alta qualidade das origens de dados de grande volume mais usadas. Normalmente, os pedidos de analisadores premium dos clientes são processados em poucos dias. |
| Analisadores padrão | Para outras origens de dados suportadas, o Google SecOps oferece apoio técnico de melhor esforço, com um tempo de processamento típico de algumas semanas. Para satisfazer necessidades imediatas, pode usar extensões de análise self-service e capacidades de extração automática. |
| Analisadores e extensões criados pelo cliente | O Google SecOps não oferece apoio técnico para estes produtos. Recomendamos que faça esta gestão de forma independente ou com a ajuda de parceiros da Google. |
Para ver uma lista completa dos analisadores Premium e Standard, consulte a Configuração do analisador predefinido.
Para uma vista geral da análise de registos não processados para o formato do modelo de dados unificado (UDM), consulte o artigo Vista geral da análise de registos.
Faça a gestão das atualizações do analisador pré-criado
Normalmente, a Google SecOps atualiza os analisadores pré-criados durante a quarta semana de cada mês. Estas atualizações são disponibilizadas primeiro aos clientes para acesso antecipado e testes. À medida que as próximas atualizações do analisador ficam disponíveis, são marcadas como atualização pendente na lista do analisador. Pode examinar a diferença entre as versões do analisador anteriores e mais recentes, ou ativar a atualização do analisador antecipadamente para a testar, ou ignorar a atualização e criar um analisador personalizado.
Para ver a atualização pendente, faça o seguinte:
Inicie sessão na sua instância do Google SecOps.
Selecione Definições >Definições do SIEM > Analisadores.
Clique em Filtrar.
Selecione Pré-criado, Ativo e Pré-criado alargado na lista.
É apresentada uma lista de analisadores ativos (predefinição) pré-criados. As próximas atualizações do analisador são marcadas como Pendentes na coluna Atualização.
Clique em Menu e selecione Ver atualização pendente na lista.
É apresentada a página Comparar analisadores. Aqui, pode ver o seguinte:
A diferença de código entre a versão atual e a versão do analisador que vai ser lançada.
Os registos de alterações no separador Registos de alterações.
O evento UDM gerado para o registo não processado com amostragem.
A data e a hora em que o analisador foi criado.
A data e a hora da última atualização do código do analisador.
Pode ativar a atualização do analisador antecipadamente, ignorar a atualização e criar um analisador personalizado ou aguardar que a atualização seja aplicada automaticamente durante a quarta semana do mês.
Ative a atualização do analisador antecipadamente
A funcionalidade de gestão do analisador permite-lhe ativar a atualização do analisador antecipadamente. Por exemplo, se quiser testá-lo.
Para ativar a atualização do analisador antecipadamente, siga estes passos:
Na página Comparar analisadores, clique em Tornar a atualização do analisador ativa.
É apresentada a caixa de diálogo Confirmar atualização do analisador.
Clique em Confirm.
O analisador é ativado para o processo de normalização após 20 minutos.
Ignore as atualizações do analisador pré-criado
Para ignorar as atualizações do analisador pré-criado atual e futuras, crie um analisador personalizado da seguinte forma:
Na página Comparar analisadores, clique em Ignorar atualização.
É apresentada a janela Ignorar atualização e criar analisador personalizado.
Clique em Criar analisador personalizado.
Para o Tipo de analisador com que começar, selecione o analisador pré-criado atual ou a atualização do analisador pendente.
Clique em Criar.
A versão selecionada é ativada para o processo de normalização após 20 minutos. Aparece como Personalizado e Ativo na lista de analisadores na página Analisadores. A versão pré-criada anterior aparece como Pré-criada e Inativa.
Reverta uma atualização antecipada do analisador pré-criado
Se ativou a atualização do analisador antecipadamente, ainda pode reverter para a versão anterior até à quarta semana do mês, quando a atualização é ativada automaticamente.
Para voltar à versão anterior do analisador, siga estes passos:
No menu Aplicação, selecione Definições > Analizadores.
Clique em Menu junto ao analisador que quer reverter.
Clique em Ver.
É apresentada a página Ver analisador pré-criado.
Clique em Reverter para versão anterior.
É apresentada a caixa de diálogo Reverter para anterior. Pode clicar em Comparar analisadores na caixa de diálogo para ver a diferença entre as versões atual e anterior.
Clique em Confirmar para reverter o analisador para a versão anterior.
O analisador é revertido para a versão anterior após 20 minutos.
Analisadores personalizados
O Google SecOps permite-lhe criar analisadores personalizados para casos em que não está disponível um analisador pré-criado ou quando quer ter mais controlo. Os analisadores personalizados aparecem na lista de analisadores, juntamente com os analisadores pré-criados.
Os exemplos de utilização comuns incluem:
Carregar dados de registo para um tipo de registo que não tenha um analisador pré-criado.
Use um dos seguintes métodos:
Crie um analisador personalizado para ignorar atualizações do analisador pré-criado.
Crie um analisador personalizado com base nas instruções de mapeamento
Pode criar um analisador personalizado escrevendo código que converte o registo não processado original num registo UDM.
Leitura adicional:
- Para mais informações sobre a estrutura de um analisador, consulte a Vista geral da análise de registos.
- Para mais informações sobre a sintaxe do analisador, consulte a Referência de sintaxe do analisador.
Ao criar um analisador, procure preencher o maior número possível de campos UDM importantes.
Aceda a Definições.
Aceda a Definições do SIEM.
Clique em Criar analisador.
Selecione uma origem de registo adequada na lista Origem de registo.
Selecione Começar apenas com registos não processados para criar um novo analisador de acordo com os seus requisitos.
Clique em Criar.
Introduza o código no terminal de código do analisador. Para mais informações, consulte o artigo Crie uma instrução de mapeamento de fragmentos de código.
Opcional: clique em Editar para editar o registo não processado existente ou copiá-lo.
Opcional: clique em Carregar para carregar o registo não processado mais recente.
Clique em Pré-visualizar para ver o resultado do UDM. É apresentada uma mensagem de erro se o código estiver incorreto.
Na pré-visualização, pode usar o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte o artigo Valide os dados através do plug-in statedump.
Clique em Validar para validar o analisador personalizado.
O processo de validação pode demorar alguns minutos, por isso, recomendamos que pré-visualize primeiro o analisador personalizado, faça alterações, se necessário, e, em seguida, valide o analisador personalizado.
Clique em Enviar.
O analisador é ativado para o processo de normalização após 20 minutos.
Crie um analisador personalizado com base num analisador existente
Use um analisador existente como modelo para criar um novo analisador personalizado. Este método suporta apenas a abordagem baseada em código. Para começar, siga estes passos:
No menu Aplicação, selecione Definições > Analisadores.
Clique em Criar analisador.
Selecione uma origem de registo adequada na lista Origem de registo.
Selecione Começar com um analisador pré-criado existente para usar um analisador existente como base para criar um novo analisador personalizado.
Clique em Criar.
Edite o código no terminal de código do analisador. Para mais informações, consulte o artigo Crie uma instrução de mapeamento de fragmentos de código.
Opcional: clique em Editar para editar o registo não processado.
Opcional: clique em Atualizar para atualizar o registo não processado.
À medida que adiciona código para criar o analisador, clique em Pré-visualizar para ver o resultado do UDM. É apresentada uma mensagem de erro se o código estiver incorreto.
Na pré-visualização, pode usar o plug-in de filtro statedump para validar o estado interno de um analisador. Para mais informações, consulte o artigo Valide os dados através do plug-in statedump.
Clique em Validar para validar o analisador personalizado.
O processo de validação pode demorar alguns minutos, por isso, recomendamos que pré-visualize primeiro o analisador personalizado, faça alterações, se necessário, e, em seguida, valide o analisador personalizado.
Clique em Enviar.
O analisador é ativado para o processo de normalização após 20 minutos.
Desative um analisador personalizado
No menu Aplicação, selecione Definições > Analizadores.
Clique em Menu junto ao analisador que quer desativar e selecione Desativar na lista.
É apresentada a caixa de diálogo Desativar analisador.
Clique em Tornar inativo.
O analisador personalizado é desativado e a versão atual do analisador pré-criado é ativada após 20 minutos. O analisador pré-criado torna-se agora o analisador predefinido. O analisador personalizado é desativado e a versão atual do analisador pré-criado é ativada após 20 minutos. O analisador pré-criado torna-se agora o analisador predefinido.
Elimine um analisador personalizado
No menu Aplicação, selecione Definições > Analizadores.
Clique no Menu junto ao analisador personalizado que quer eliminar e selecione Eliminar na lista. Nota: não pode eliminar um analisador pré-criado.
É apresentada a caixa de diálogo Eliminar analisador personalizado.
Clique em Eliminar.
O analisador personalizado é eliminado e a versão atual do analisador pré-criado é ativada após 20 minutos.
Crie uma extensão
As extensões de análise sintática oferecem uma forma flexível de expandir as capacidades dos analisadores sintáticos predefinidos (predefinidos) e personalizados existentes. Não substituem os analisadores predefinidos nem os analisadores personalizados. Em alternativa, permitem a extração perfeita de campos adicionais do registo não processado original para o registo da UDM. Uma extensão de análise é diferente de um analisador personalizado.
Para criar uma extensão de análise, consulte o artigo Usar extensões de análise.
Controle o acesso à gestão do analisador
Por predefinição, os utilizadores com as funções de administrador e editor podem gerir as atualizações do analisador. Podem ser concedidas novas autorizações para controlar quem pode ver e gerir estas atualizações.
Para mais informações sobre a gestão de utilizadores e grupos, ou a atribuição de funções, consulte o guia do utilizador do controlo de acesso baseado em funções.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.