管理预构建的解析器

支持范围：

Google SecOps SIEM

本文档提供了有关如何在 Google Security Operations 中管理解析器的指南。其中详细介绍了如何处理预构建解析器的更新、创建解析器扩展程序，以及控制对解析器管理的访问权限。

什么是解析器？

在 Google Security Operations 中，解析器是一组指令，可将来自各种来源的原始日志数据转换为统一数据模型 (UDM) 格式。将原始日志标准化为 UDM 至关重要，因为这样一来，无论原始日志格式如何，Google SecOps 都能在所有注入的数据中有效分析、搜索和关联安全性事件。如需大致了解日志解析，请参阅日志解析概览。

为什么需要解析器？

解析器对于在 Google SecOps 中使用安全数据至关重要。如果没有适当的解析，原始日志将保持非结构化状态，无法进行有效搜索、与其他安全性事件关联或被检测规则使用。标准化过程会丰富原始数据，将关键字段映射到标准化架构，从而为 Google SecOps 的分析功能提供支持。

哪些解析器会显示在平台中？

Google SecOps 平台中的解析器页面仅显示您已注入数据的日志类型的预构建解析器。如果您尚未提取特定日志类型的任何日志，则相应的预构建解析器不会显示在平台中。

例如，UDM（使用 udmevents API 提取或不含原始日志）和某些 Mandiant 日志（使用 CreateEntities API 提取）等日志类型不需要或没有关联的解析器，因为它们已经采用结构化格式。因此，这些解析器不会列在解析器页面上。

如需在平台中查看预构建的解析器，请确保您已成功提取该特定日志类型的数据。

本文档介绍了以下关键解析器管理方面：

• 管理预构建解析器更新
• 管理预构建解析器版本
• 创建扩展程序
• 控制对解析器管理的访问权限

注意： UDM 字段映射中仅支持 UTF-8 字符。使用其他编码可能会导致解析失败，并使日志无法搜索。

解析器类型

了解解析器类型及其功能：

解析器类型	说明
预构建	由 Google SecOps 创建的解析器，包含用于将原始日志数据转换为 UDM 字段的内置映射。
经过扩展的预构建版	由客户创建的预构建解析器，其中包含额外的映射说明，用于从原始日志中提取额外数据并将其插入 UDM 记录中。
自定义	一种非预构建的解析器，具有自定义数据映射指令，可将原始日志数据转换为 UDM 字段。如需了解详情，请参阅配置自定义解析器。
经过扩展的自定义版	具有额外映射指令的自定义解析器，它使用解析器扩展程序从原始日志中提取额外数据并将其插入 UDM 记录中。

管理预构建解析器更新

Google SecOps 通常会在每个月的第四周更新其预构建解析器。这些更新会首先提供给客户，供其抢先体验和测试。当即将推出的解析器更新可用时，它们会在解析器列表中标记为待处理更新。您可以检查新旧解析器版本之间的差异，也可以提前激活解析器更新以进行测试，或者跳过更新并创建自定义解析器。

重要提示： 此功能需要启用自动解析器更新。如需开启此设置，请参阅选择启用和停用自动解析器更新。

如需查看待处理的更新，请执行以下操作：

1. 登录您的 Google SecOps 实例。

2. 依次选择设置 > SIEM 设置 > 解析器。

3. 点击 过滤条件。

4. 从列表中选择预构建、有效和预构建扩展。

   系统会显示活跃（默认）预构建解析器的列表。即将进行的解析器更新在更新列中标记为待处理。

5. 点击 菜单，然后从列表中选择查看待处理的更新。

   系统会显示比较解析器页面。您可以在此处查看以下内容：

   • 当前解析器版本与即将推出的解析器版本之间的代码差异

   • 分析即将发布的解析器版本对检测规则的影响

   • 更新日志标签页中的更新日志

   • 为抽样原始日志生成的 UDM 事件

     注意： 显示的示例是随机的，可能不会显示所有更改过的字段。您可以点击 “修改”并输入您自己的示例，从而更改日志示例。然后，点击“刷新”进行更新。

   • 解析器的创建日期和时间

   • 上次更新解析器代码的日期和时间

   您可以提前启用解析器更新，也可以跳过更新并创建自定义解析器，或者等待更新在当月第四周自动应用。

尽早激活解析器更新

借助解析器管理功能，您可以提前激活解析器更新。例如，如果您想测试它。

如需提前启用解析器更新，请按以下步骤操作：

1. 在比较解析器页面上，点击使解析器更新生效。

   系统会显示确认解析器更新对话框。

2. 点击确认。

   20 分钟后，解析器会激活，开始执行规范化流程。

   注意： 此解析器版本在下一个发布周期之前会保持有效。

跳过预构建解析器更新

如需跳过当前和未来的预构建解析器更新，请按如下方式创建自定义解析器：

1. 在比较解析器页面上，点击跳过更新。

   系统会显示跳过更新并创建自定义解析器窗口。

2. 点击创建自定义解析器。

3. 对于要开始使用的解析器类型，请选择当前的预构建解析器或待处理的解析器更新。

4. 点击创建。

   注意： 如果此日志源已存在自定义解析器，则您无法再创建其他自定义解析器。系统会显示以下消息：此日志源已存在自定义解析器。

   所选版本会在 20 分钟后激活，以用于标准化过程。它在解析器页面上的解析器列表中显示为自定义和活跃。之前的预构建版本会显示为预构建和无效。

   注意 ：所有未来的预构建解析器更新仍会显示，但除非您停用自定义解析器并还原到预构建版本，否则这些更新不会应用。

还原预构建解析器的提前更新

如果您提前激活了解析器更新，则仍可在当月的第四周（即更新自动激活时）之前还原到上一个版本。

如需切换回之前的解析器版本，请按以下步骤操作：

1. 在 应用菜单中，依次选择设置 > 解析器。

2. 点击要还原的解析器对应的 菜单。

3. 点击查看。

   系统会显示查看预构建解析器页面。

4. 点击还原至上一个版本。

   系统会显示还原为上一个对话框。您可以点击对话框中的比较解析器，查看当前版本与先前版本之间的差异。

5. 点击确认，将解析器还原到其先前版本。

   解析器会在 20 分钟后还原为之前的版本。

分析即将推出的解析器版本的影响

注意： 此功能受 Google Security Operations 服务专用条款的非正式版产品条款约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改与其他正式发布前版本可能不兼容。如需了解详情，请参阅 Google SecOps 技术支持服务准则和 Google SecOps 服务专用条款。
如果您的环境中未显示此功能，请参阅管理预览版功能或与系统管理员联系。

注意：此功能处于非公开预览版阶段，并非所有区域的所有客户都可以使用。无法在 Google SecOps 平台的“公开预览版管理器”页面中管理非公开预览版功能。

借助影响检查，您可以在应用更改之前评估即将推出的解析器版本对检测规则的潜在影响。对于任何受到负面影响的规则，您可以点击链接进行调查并相应地更新规则。

对于单事件规则，分析会检查检测规则在过去 30 天内生成的检测。它会针对与这些检测结果对应的事件，同时运行当前解析器版本和即将推出的解析器版本。此过程会重新生成检测结果，以检查是否存在不匹配的情况。

对于多事件规则，分析会使用事件样本（而非所有事件）来执行启发式分析。如果事件不匹配，此分析会将结果标记为可能失败。

如需分析即将推出的解析器版本对检测规则的影响，请执行以下操作：

1. 在 Google SecOps 控制台中，依次前往设置 > SIEM 设置 > 解析器。
2. 选择特定的日志类型（预构建解析器）。
3. 选择一个解析器更新选项：更新到最新版本、回滚到上次使用的版本或选择加入候选版本。
4. 前往解析器的影响标签页，然后点击检查对规则的影响。影响检查可能需要一些时间才能完成。

5. 完成后，系统会显示以下内容：

   • 解析器元数据和受新版本影响的规则列表，其中详细说明了规则类型和显示差异的 UDM 字段。

   • 系统会将受到负面影响的规则分类如下：

     • 失败：新解析器未触发检测，但当前解析器触发了检测。
     • 可能失败：规则逻辑中的 UDM 字段已更改的规则（包括多事件规则）。您必须进一步调查这些规则。

   对于其中每条规则，请点击指向规则编辑器的链接，调查并修改规则，使其能够与新解析器版本搭配使用。

管理预构建解析器版本

Google SecOps 提供并维护预构建的解析器，以确保正确解析日志。您可以控制新解析器版本在环境中的应用方式，以满足组织的需求。

本部分介绍了 Google SecOps 中的完整解析器版本管理生命周期。这包括选择启用和停用自动更新、比较不同版本之间的逻辑、手动更新到新版本以及回滚到先前版本。

注意： 您可以预览 Google 预构建解析器，以测试新版本。不过，如果您有正在运行的自定义解析器，则无法使用预览工具测试更新后的预构建解析器。您必须停用自定义解析器，并改回使用预构建解析器。

选择启用和停用自动解析器更新

如果您关闭自动更新，解析器将保持当前版本，直到您开启自动更新或手动更新。如需关闭自动更新，请执行以下操作：

1. 在 应用菜单中，依次选择设置 > 解析器。

2. 点击所需预构建解析器的 菜单。

3. 点击关闭自动更新。

启用自动更新后，解析器会随着每个新的稳定版本进行更新。如需开启自动更新功能，请执行以下操作：

1. 在 应用菜单中，依次选择设置 > 解析器。

2. 点击所需预构建解析器的 菜单。

3. 点击启用自动更新。

重要提示： 如需选择启用预览版解析器，您必须启用自动更新，并确保解析器为最新版本。停用更新会移除预览选项，并恢复该日志类型上次使用的稳定版。

手动更新解析器版本

如果自动更新处于关闭状态，您可以选择何时将解析器更新到新版本。这样，您就可以在应用更改之前先进行审核。

注意 ：您只能升级到最新解析器版本，而不能升级到任何中间版本。如需更新解析器，请执行以下操作：

1. 在 应用菜单中，依次选择设置 > 解析器。

2. 点击所需解析器的菜单。

3. 选择更新到最新版本。

   系统会显示比较解析器页面。您可以查看以下信息：

   • 当前解析器版本与新解析器版本之间的代码差异。

   • 更新日志标签页，其中汇总了更改。

   • 采样原始日志的 UDM 输出。如需针对其他日志测试输出，请点击 修改以修改采样的原始日志。

   • 解析器代码的上次更新日期和时间。

4. 点击更新解析器，将其更新到最新版本。

回滚解析器版本

无论解析器的自动更新状态如何，您都可以将其还原到上次使用的版本。如需回滚解析器版本，请执行以下操作：

1. 在 应用菜单中，依次选择设置 > 解析器。

2. 点击所需解析器的 菜单。

3. 选择回滚到上次使用的版本。

   系统会显示比较解析器页面。您可以查看以下信息：

   • 当前解析器版本与上次使用的解析器版本之间的代码差异。

   • 更新日志标签页，其中会显示更改。

   • 采样原始日志的 UDM 输出。如需针对其他日志测试输出，请点击 修改以修改采样的原始日志。

   • 解析器代码的上次更新日期和时间。

4. 点击继续回滚，以还原为上次使用的版本。

解析器会回滚到您上次使用的版本。例如，如果您从 17.0 版升级到 24.0 版，回滚后将返回到 17.0 版，而不是 23.0 版。

您只能执行一次连续回滚。执行回滚后，回滚选项将不再可用。

注意： 解析器更新大约需要 30 分钟。在此期间，您可能会遇到事件解析暂时不一致的情况。

针对旧版解析器的支持政策

只有最新稳定版的预构建解析器才会收到 bug 修复和增强功能。如果您停用自动更新并继续使用较低版本的解析器，该版本将不会收到补丁或更新。如果您报告此早期版本存在问题，下一个稳定版本将包含修复程序。您必须手动将解析器升级到最新的稳定版本才能获得修复。

创建扩展程序

解析器扩展程序提供了一种灵活的方式来扩展现有预构建（默认）解析器的功能。它们不会取代预构建的解析器。相反，它们支持将原始日志中的其他字段无缝提取到 UDM 记录中。解析器扩展程序与自定义解析器不同。

如需创建解析器扩展程序，请参阅使用解析器扩展程序。

控制对解析器管理的访问权限

默认情况下，拥有管理员和编辑者角色的用户可以管理解析器更新。您可以授予新权限，以控制哪些人可以查看和管理这些更新。

如需详细了解如何管理用户和群组或分配角色，请参阅基于角色的访问权限控制用户指南。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。