Vordefinierte Parser verwalten

Unterstützt in:

Google SecOps SIEM

In diesem Dokument finden Sie eine Anleitung zum Verwalten von Parsern in Google Security Operations. Außerdem wird beschrieben, wie Sie Updates für vordefinierte Parser verwalten, Parsererweiterungen erstellen und den Zugriff auf die Parserverwaltung steuern.

Was sind Parser?

In Google Security Operations ist ein Parser eine Reihe von Anweisungen, mit denen Logrohdaten aus verschiedenen Quellen in das UDM-Format (Unified Data Model) umgewandelt werden. Die Normalisierung von Rohlogs in das UDM ist wichtig, da Google SecOps so Sicherheitshinweise effektiv über alle erfassten Daten hinweg analysieren, suchen und korrelieren kann, unabhängig vom ursprünglichen Logformat. Eine allgemeine Übersicht über das Parsen von Logs finden Sie unter Übersicht über das Parsen von Logs.

Warum sind Parser erforderlich?

Parser sind entscheidend, um Ihre Sicherheitsdaten in Google SecOps nutzbar zu machen. Ohne ordnungsgemäßes Parsen bleiben Rohlogs unstrukturiert und können nicht effektiv durchsucht, mit anderen Sicherheitsereignissen korreliert oder von Erkennungsregeln verwendet werden. Bei der Normalisierung werden die Rohdaten angereichert und wichtige Felder einem standardisierten Schema zugeordnet, das die Analysefunktionen von Google SecOps unterstützt.

Welche Parser werden auf der Plattform angezeigt?

Auf der Seite Parser der Google SecOps-Plattform werden vordefinierte Parser nur für die Logtypen angezeigt, für die Sie bereits Daten aufgenommen haben. Wenn Sie noch keine Logs für einen bestimmten Logtyp aufgenommen haben, wird der entsprechende vordefinierte Parser nicht auf der Plattform angezeigt.

Beispielsweise sind für Logtypen wie UDM (aufgenommen über die udmevents API oder ohne Rohlogs) und bestimmte Mandiant-Logs (aufgenommen über die CreateEntities API) keine Parser erforderlich oder vorhanden, da sie bereits in einem strukturierten Format vorliegen. Daher werden diese nicht auf der Seite Parser aufgeführt.

Wenn Sie einen vordefinierten Parser auf der Plattform sehen möchten, müssen Sie Daten für diesen Logtyp erfolgreich aufgenommen haben.

In diesem Dokument werden die folgenden wichtigen Aspekte der Parser-Verwaltung behandelt:

• Updates für vordefinierte Parser verwalten
• Vordefinierte Parser-Versionen verwalten
• Erweiterung erstellen
• Zugriff auf die Parser-Verwaltung steuern

Hinweis: In UDM-Feldzuordnungen werden nur UTF-8-Zeichen unterstützt. Die Verwendung anderer Codierungen kann zu Parsing-Fehlern führen und dazu, dass Logs nicht durchsucht werden können.

Parsertypen

Parser-Typen und ihre Funktionen:

Parsertyp	Beschreibung
Vordefiniert	Von Google SecOps erstellte Parser, die integrierte Zuordnungen enthalten, um ursprüngliche Logdaten in UDM-Felder zu transformieren.
Vordefiniert (erweitert)	Ein vordefinierter Parser, der von Kunden mit zusätzlichen Zuordnungsanweisungen erstellt wurde, um zusätzliche Daten aus einem ursprünglichen Rohlog zu extrahieren und in den UDM-Eintrag einzufügen.
Benutzerdefiniert	Ein Parser, der nicht vordefiniert ist und benutzerdefinierte Datenzuordnungsanweisungen enthält, um ursprüngliche Logdaten in UDM-Felder zu transformieren. Weitere Informationen finden Sie unter Benutzerdefinierte Parser konfigurieren.
Benutzerdefiniert (erweitert)	Ein benutzerdefinierter Parser mit zusätzlichen Zuordnungsanweisungen, der eine Parser-Erweiterung verwendet, um zusätzliche Daten aus einem ursprünglichen Rohlog zu extrahieren und in den UDM-Eintrag einzufügen.

Updates für vordefinierte Parser verwalten

Google SecOps aktualisiert seine vordefinierten Parser in der Regel in der vierten Woche jedes Monats. Diese Updates werden Kunden zuerst für den Vorabzugriff und zum Testen zur Verfügung gestellt. Wenn anstehende Parser-Updates verfügbar sind, werden sie in der Parser-Liste als Ausstehend gekennzeichnet. Sie können den Unterschied zwischen der früheren und der neueren Parserversion prüfen, das Parser-Update vorzeitig aktivieren, um es zu testen, oder das Update überspringen und einen benutzerdefinierten Parser erstellen.

Wichtig: Für diese Funktion müssen automatische Parser-Updates aktiviert sein. Informationen zum Aktivieren dieser Einstellung finden Sie unter Automatische Parser-Updates aktivieren und deaktivieren.

So rufen Sie das ausstehende Update auf:

1. Melden Sie sich in Ihrer Google SecOps-Instanz an.

2. Wählen Sie Einstellungen > SIEM-Einstellungen > Parser aus.

3. Klicken Sie auf Filtern.

4. Wählen Sie in der Liste Vordefiniert, Aktiv und Vordefiniert (erweitert) aus.

   Eine Liste der aktiven (Standard-) und vordefinierten Parser wird angezeigt. Anstehende Parser-Updates sind in der Spalte Aktualisierung als Ausstehend gekennzeichnet.

5. Klicken Sie auf das Menü und wählen Sie in der Liste Ausstehendes Update ansehen aus.

   Die Seite Parser vergleichen wird angezeigt. Hier sehen Sie Folgendes:

   • Der Codeunterschied zwischen der aktuellen und der kommenden Parser-Version

   • Auswirkungen der kommenden Parser-Version auf Ihre Erkennungsregeln analysieren

   • Die Änderungsprotokolle auf dem Tab Änderungsprotokolle

   • Das generierte UDM-Ereignis für das Rohlog aus der Stichprobe

     Hinweis: Das angezeigte Beispiel ist zufällig und enthält möglicherweise nicht alle geänderten Felder. Sie können das Logbeispiel ändern, indem Sie auf „Bearbeiten“ klicken und ein eigenes Beispiel eingeben. Klicken Sie dann auf „Aktualisieren“, um die Seite zu aktualisieren.

   • Datum und Uhrzeit der Erstellung des Parsers

   • Datum und Uhrzeit der letzten Aktualisierung des Parser-Codes

   Sie können das Parser-Update entweder vorzeitig aktivieren, das Update überspringen und einen benutzerdefinierten Parser erstellen oder warten, bis das Update in der vierten Woche des Monats automatisch angewendet wird.

Parser-Update frühzeitig aktivieren

Mit der Parser-Verwaltungsfunktion können Sie das Parser-Update vorzeitig aktivieren. Beispielsweise, wenn Sie sie testen möchten.

So aktivieren Sie die Parser-Aktualisierung vorzeitig:

1. Klicken Sie auf der Seite Parser vergleichen auf Parser-Update aktivieren.

   Das Dialogfeld Parser-Update bestätigen wird angezeigt.

2. Klicken Sie auf Bestätigen.

   Der Parser wird nach 20 Minuten für den Normalisierungsprozess aktiviert.

   Hinweis: Diese Parserversion bleibt bis zum nächsten Releasezyklus aktiv.

Updates für vordefinierte Parser überspringen

So überspringen Sie die aktuellen und zukünftigen Updates für vordefinierte Parser und erstellen einen benutzerdefinierten Parser:

1. Klicken Sie auf der Seite Parser vergleichen auf Aktualisierung überspringen.

   Das Fenster Update überspringen und benutzerdefinierten Parser erstellen wird angezeigt.

2. Klicken Sie auf Benutzerdefinierten Parser erstellen.

3. Wählen Sie für Typ des Parsers, mit dem begonnen werden soll entweder den aktuellen vordefinierten Parser oder das ausstehende Parser-Update aus.

4. Klicken Sie auf Erstellen.

   Hinweis: Wenn für diese Logquelle bereits ein benutzerdefinierter Parser vorhanden ist, können Sie keinen weiteren erstellen. Die folgende Meldung wird angezeigt: Für diese Logquelle ist bereits ein benutzerdefinierter Parser vorhanden.

   Die ausgewählte Version wird nach 20 Minuten für den Normalisierungsprozess aktiviert. Er wird auf der Seite Parser in der Liste der Parser als Benutzerdefiniert und Aktiv angezeigt. Die frühere vordefinierte Version wird als Vordefiniert und Inaktiv angezeigt.

   Hinweis: Alle zukünftigen Updates für vordefinierte Parser bleiben sichtbar, werden aber erst angewendet, wenn Sie den benutzerdefinierten Parser deaktivieren und zur vordefinierten Version zurückkehren.

Frühes Update des vordefinierten Parsers rückgängig machen

Wenn Sie das Parser-Update vorzeitig aktiviert haben, können Sie bis zur vierten Woche des Monats, in der das Update automatisch aktiviert wird, zur vorherigen Version zurückkehren.

So wechseln Sie zur vorherigen Parser-Version zurück:

1. Wählen Sie im Anwendungsmenü die Option Einstellungen > Parser aus.

2. Klicken Sie neben dem Parser, den Sie zurücksetzen möchten, auf Menü.

3. Klicken Sie auf Ansehen.

   Die Seite Vordefinierten Parser ansehen wird angezeigt.

4. Klicken Sie auf Vorherige Version wiederherstellen.

   Das Dialogfeld Auf vorherige Version zurücksetzen wird angezeigt. Sie können im Dialogfeld auf Parser vergleichen klicken, um den Unterschied zwischen der aktuellen und der vorherigen Version zu sehen.

5. Klicken Sie auf Bestätigen, um den Parser auf die vorherige Version zurückzusetzen.

   Der Parser wird nach 20 Minuten auf die vorherige Version zurückgesetzt.

Auswirkungen der anstehenden Parserversion analysieren

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

Hinweis: Diese Funktion befindet sich in der privaten Vorschau und ist nicht für alle Kunden in allen Regionen verfügbar. Funktionen in der privaten Vorschau können nicht auf der Seite „Public Preview Manager“ in der Google SecOps-Plattform verwaltet werden.

Mit der Auswirkungsprüfung können Sie die potenziellen Auswirkungen der anstehenden Parserversion auf Ihre Erkennungsregeln bewerten, bevor Sie die Änderungen anwenden. Wenn Regeln negativ betroffen sind, können Sie den Links folgen, um die Regeln zu untersuchen und entsprechend zu aktualisieren.

Bei Regeln für einzelne Ereignisse werden die Erkennungen geprüft, die Ihre Erkennungsregeln in den letzten 30 Tagen generiert haben. Dabei werden sowohl die aktuelle als auch die kommende Parser-Version für die Ereignisse ausgeführt, die diesen Erkennungen entsprechen. Bei diesem Vorgang werden die Erkennungen neu generiert, um nach Abweichungen zu suchen.

Bei Regeln für mehrere Ereignisse wird für die heuristische Analyse eine Stichprobe Ihrer Ereignisse und nicht alle Ereignisse verwendet. Wenn die Ereignisse nicht übereinstimmen, wird das Ergebnis dieser Analyse als Potenziell fehlerhaft markiert.

So analysieren Sie die Auswirkungen der kommenden Parser-Version auf Ihre Erkennungsregeln:

1. Rufen Sie in der Google SecOps-Konsole Einstellungen > SIEM-Einstellungen > Parser auf.
2. Wählen Sie einen bestimmten Logtyp (vordefinierter Parser) aus.
3. Wählen Sie eine der Optionen für die Parser-Aktualisierung aus: Auf die aktuelle Version aktualisieren, Rollback auf die zuletzt verwendete Version oder Releasekandidat aktivieren.
4. Rufen Sie den Tab Auswirkungen des Parsers auf und klicken Sie auf Auswirkungen auf Regeln prüfen. Die Auswirkungsprüfung kann einige Zeit dauern.

5. Nach Abschluss wird Folgendes angezeigt:

   • Parser-Metadaten und eine Liste der Regeln, die von der neuen Version betroffen sind, mit Details zum Regeltyp und den UDM-Feldern, die Unterschiede aufweisen.

   • Das System kategorisiert alle negativ betroffenen Regeln so:

     • Fehlgeschlagen: Der neue Parser hat keine Erkennung ausgelöst, der aktuelle Parser jedoch schon.
     • Möglicherweise fehlgeschlagen: Regeln (einschließlich Regeln für mehrere Ereignisse), bei denen sich UDM-Felder in der Regellogik geändert haben. Sie müssen diese Regeln genauer untersuchen.

   Folgen Sie für jede dieser Regeln dem Link zum Regeleditor, um die Regel zu untersuchen und zu bearbeiten, damit sie mit der neuen Parserversion funktioniert.

Vordefinierte Parserversionen verwalten

Google SecOps stellt vordefinierte Parser bereit und verwaltet sie, damit Ihre Logs korrekt geparst werden. Sie können festlegen, wie neue Parser-Versionen in Ihrer Umgebung angewendet werden, um die Anforderungen Ihrer Organisation zu erfüllen.

In diesem Abschnitt wird der vollständige Lebenszyklus der Parser-Versionsverwaltung in Google SecOps beschrieben. Dazu gehören das Aktivieren und Deaktivieren automatischer Updates, das Vergleichen der Logik zwischen Versionen, das manuelle Aktualisieren auf neue Versionen und das Rollback auf vorherige Versionen.

Hinweis: Sie können sich eine Vorschau der vordefinierten Parser von Google ansehen, um neue Versionen zu testen. Sie können das Vorschautool jedoch nicht verwenden, um einen aktualisierten vordefinierten Parser zu testen, während ein aktiver benutzerdefinierter Parser ausgeführt wird. Sie müssen Ihren benutzerdefinierten Parser deaktivieren und wieder einen vordefinierten Parser verwenden.

Automatische Parser-Updates aktivieren und deaktivieren

Wenn Sie automatische Updates deaktivieren, bleibt der Parser auf der aktuellen Version, bis Sie automatische Updates aktivieren oder ihn manuell aktualisieren. So deaktivieren Sie automatische Updates:

1. Wählen Sie im Anwendungsmenü die Option Einstellungen > Parser aus.

2. Klicken Sie für den erforderlichen vordefinierten Parser auf Menü.

3. Klicken Sie auf Automatische Updates deaktivieren.

Wenn automatische Updates aktiviert sind, wird der Parser mit jedem neuen stabilen Release aktualisiert. So aktivieren Sie automatische Updates:

1. Wählen Sie im Anwendungsmenü die Option Einstellungen > Parser aus.

2. Klicken Sie für den erforderlichen vordefinierten Parser auf Menü.

3. Klicken Sie auf Automatische Updates aktivieren.

Wichtig: Wenn Sie einen Vorschauparser aktivieren möchten, müssen automatische Updates aktiviert sein und der Parser muss die aktuelle Version haben. Wenn Sie Updates deaktivieren, wird die Option „Vorabversion“ entfernt und die zuletzt verwendete stabile Version für diesen Logtyp wiederhergestellt.

Parserversion manuell aktualisieren

Wenn automatische Updates deaktiviert sind, können Sie selbst entscheiden, wann ein Parser auf eine neue Version aktualisiert werden soll. So können Sie Änderungen prüfen, bevor Sie sie anwenden.

Hinweis: Sie können nur ein Upgrade auf die neueste Parser-Version durchführen, nicht auf Versionen dazwischen. So aktualisieren Sie einen Parser:

1. Wählen Sie im Anwendungsmenü die Option Einstellungen > Parser aus.

2. Klicken Sie für den erforderlichen Parser auf Menü.

3. Wählen Sie Auf die aktuelle Version aktualisieren aus.

   Die Seite Parser vergleichen wird angezeigt. Sie können Folgendes einsehen:

   • Der Codeunterschied zwischen der aktuellen und der neuen Parserversion.

   • Auf dem Tab Änderungsprotokoll finden Sie eine Zusammenfassung der Änderungen.

   • Die UDM-Ausgabe für das Beispiel-Rohlog. Wenn Sie die Ausgabe mit einem anderen Log testen möchten, klicken Sie auf Bearbeiten, um das Rohlog aus der Stichprobe zu bearbeiten.

   • Datum und Uhrzeit der letzten Aktualisierung des Parsercodes.

4. Klicken Sie auf Parser aktualisieren, um ihn auf die aktuelle Version zu aktualisieren.

Rollback einer Parserversion durchführen

Sie können einen Parser auf die zuletzt verwendete Version zurücksetzen, unabhängig vom Status des automatischen Updates. So setzen Sie eine Parserversion zurück:

1. Wählen Sie im Anwendungsmenü die Option Einstellungen > Parser aus.

2. Klicken Sie für den erforderlichen Parser auf Menü.

3. Wählen Sie Rollback zur zuletzt verwendeten Version durchführen aus.

   Die Seite Parser vergleichen wird angezeigt. Sie können Folgendes einsehen:

   • Der Codeunterschied zwischen der aktuellen und der zuletzt verwendeten Parserversion.

   • Der Tab Änderungsprotokoll, auf dem Änderungen angezeigt werden.

   • Die UDM-Ausgabe für das Beispiel-Rohlog. Wenn Sie die Ausgabe mit einem anderen Log testen möchten, klicken Sie auf Bearbeiten, um das Rohlog aus der Stichprobe zu bearbeiten.

   • Datum und Uhrzeit der letzten Aktualisierung des Parsercodes.

4. Klicken Sie auf Rollback durchführen, um zur zuletzt verwendeten Version zurückzukehren.

Der Parser wird auf die zuletzt verwendete Version zurückgesetzt. Wenn Sie beispielsweise ein Upgrade von Version 17.0 auf 24.0 durchgeführt haben, werden Sie durch ein Rollback auf 17.0 und nicht auf 23.0 zurückgesetzt.

Sie können nur ein Rollback ausführen. Nachdem Sie ein Rollback durchgeführt haben, ist die Option Rollback nicht mehr verfügbar.

Hinweis: Parser-Updates dauern etwa 30 Minuten. Während dieser Zeit kann es zu vorübergehenden Inkonsistenzen beim Parsen von Ereignissen kommen.

Supportrichtlinie für frühere Parserversionen

Nur die neueste stabile Version eines vordefinierten Parsers erhält Fehlerkorrekturen und Verbesserungen. Wenn Sie automatische Updates deaktivieren und eine frühere Parserversion verwenden, erhält diese Version keine Patches oder Updates. Wenn Sie Probleme mit dieser früheren Version melden, wird die Korrektur in die nächste stabile Version aufgenommen. Sie müssen Ihren Parser manuell auf die neueste stabile Version aktualisieren, um die Fehlerbehebung zu erhalten.

Erweiterung erstellen

Parsererweiterungen bieten eine flexible Möglichkeit, die Funktionen vorhandener vordefinierter (Standard-)Parser zu erweitern. Sie ersetzen keine vordefinierten Parser. Stattdessen ermöglichen sie die nahtlose Extraktion zusätzlicher Felder aus dem ursprünglichen Rohlog in den UDM-Eintrag. Eine Parsererweiterung unterscheidet sich von einem benutzerdefinierten Parser.

Informationen zum Erstellen einer Parser-Erweiterung finden Sie unter Parser-Erweiterungen verwenden.

Zugriff auf die Parser-Verwaltung steuern

Standardmäßig können Nutzer mit den Rollen Administrator und Bearbeiter Parser-Updates verwalten. Es können neue Berechtigungen erteilt werden, um festzulegen, wer diese Updates sehen und verwalten darf.

Weitere Informationen zum Verwalten von Nutzern und Gruppen oder zum Zuweisen von Rollen finden Sie im Nutzerhandbuch zur rollenbasierten Zugriffssteuerung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten