Administra los analizadores compilados previamente
En este documento, se proporcionan instrucciones para administrar los analizadores en Google Security Operations. Se detalla cómo controlar las actualizaciones de los analizadores compilados previamente, crear extensiones de analizadores y controlar el acceso a la administración de analizadores.
¿Qué son los analizadores?
En Google Security Operations, un analizador es un conjunto de instrucciones que transforma los datos de registro sin procesar de varias fuentes en el formato del modelo de datos unificado (UDM). Normalizar los registros sin procesar en el UDM es esencial porque permite que Google SecOps analice, busque y correlacione eventos de seguridad de manera eficaz en todos los datos transferidos, independientemente del formato de registro original. Para obtener una descripción general del análisis de registros, consulta Descripción general del análisis de registros.
¿Por qué se necesitan los analizadores?
Los analizadores son fundamentales para que tus datos de seguridad se puedan usar en Google SecOps. Sin un análisis adecuado, los registros sin procesar permanecen sin estructurar y no se pueden buscar de forma eficaz, correlacionar con otros eventos de seguridad ni usar con reglas de detección. El proceso de normalización enriquece los datos sin procesar y asigna los campos clave a un esquema estandarizado que potencia las capacidades analíticas de Google SecOps.
¿Qué analizadores aparecen en la plataforma?
En la página Analizadores de la plataforma de Google SecOps, solo se muestran los analizadores compilados previamente para los tipos de registros de los que ya transferiste datos. Si aún no transferiste ningún registro para un tipo de registro específico, el analizador compilado previamente correspondiente no aparecerá en la plataforma.
Por ejemplo, los tipos de registros como UDM (transferidos con la API de udmevents o sin registros sin procesar) y ciertos registros de Mandiant (transferidos con la API de CreateEntities) no requieren ni tienen analizadores asociados, ya que ya están en un formato estructurado. Por lo tanto, no aparecerán en la página Analizadores.
Para ver un analizador prediseñado en la plataforma, asegúrate de haber transferido correctamente los datos de ese tipo de registro específico.
En este documento, se abordan los siguientes aspectos clave de la administración de analizadores:
- Administra las actualizaciones de los analizadores precompilados
- Administra las versiones de los analizadores compilados previamente
- Crea una extensión
- Controlar el acceso a la gestión del analizador sintáctico
Tipos de analizadores
Comprende los tipos de analizadores y sus funciones:
| Tipo de analizador | Descripción |
|---|---|
| Compilado previamente | Son analizadores creados por Google SecOps que incluyen asignaciones integradas para transformar los datos de registro originales en campos de UDM. |
| Compilación previa extendida | Es un analizador compilado previamente que crean los clientes con instrucciones de asignación adicionales para extraer datos adicionales de un registro sin procesar original y, luego, insertarlos en el registro de UDM. |
| Personalizado | Es un analizador que no está compilado previamente y tiene instrucciones de asignación de datos personalizadas para transformar los datos de registro originales en campos de UDM. Para obtener más información, consulta Configura analizadores personalizados. |
| Extensión personalizada | Es un analizador personalizado con instrucciones de asignación adicionales que usa una extensión de analizador para extraer datos adicionales de un registro sin procesar original y, luego, insertarlos en el registro de UDM. |
Administra las actualizaciones de los analizadores compilados previamente
Por lo general, Google SecOps actualiza sus analizadores predefinidos durante la cuarta semana de cada mes. Estas actualizaciones se ponen primero a disposición de los clientes para que puedan acceder a ellas de forma anticipada y probarlas. A medida que las próximas actualizaciones del analizador estén disponibles, se marcarán como actualización Pendiente en la lista de analizadores. Puedes examinar la diferencia entre las versiones anterior y más reciente del analizador, o activar la actualización del analizador con anticipación para probarla, o bien omitir la actualización y crear un analizador personalizado.
Para ver la actualización pendiente, haz lo siguiente:
Accede a tu instancia de Google SecOps.
Selecciona Configuración > Configuración de SIEM > Analizadores.
Haz clic en Filtrar.
Selecciona Precompilado, Activo y Precompilado extendido de la lista.
Aparecerá una lista de analizadores precompilados activos (predeterminados). Las próximas actualizaciones del analizador se marcan como Pendientes en la columna Actualización.
Haz clic en Menú y selecciona Ver actualización pendiente en la lista.
Aparecerá la página Comparar analizadores. Aquí, puedes ver lo siguiente:
La diferencia de código entre la versión actual y la próxima del analizador
Analiza el impacto de la próxima versión del analizador en tus reglas de detección
Los registros de cambios en la pestaña Registros de cambios
El evento de UDM generado para el registro sin procesar de muestra
La fecha y hora en que se creó el analizador
La fecha y hora en que se actualizó por última vez el código del analizador
Puedes activar la actualización del analizador con anticipación, omitir la actualización y crear un analizador personalizado, o esperar a que la actualización se aplique automáticamente durante la cuarta semana del mes.
Activa la actualización del analizador con anticipación
La función de administración de analizadores te permite activar la actualización del analizador de forma anticipada. Por ejemplo, si quieres probarlo.
Para activar la actualización del analizador antes de tiempo, sigue estos pasos:
En la página Comparar analizadores, haz clic en Activar la actualización del analizador.
Aparecerá el diálogo Confirmar actualización del analizador.
Haz clic en Confirmar.
El analizador se activa para el proceso de normalización después de 20 minutos.
Omitir las actualizaciones del analizador compilado previamente
Para omitir las actualizaciones actuales y futuras del analizador compilado previamente, crea un analizador personalizado de la siguiente manera:
En la página Comparar analizadores, haz clic en Omitir actualización.
Aparecerá la ventana Omitir actualización y crear un analizador personalizado.
Haz clic en Crear analizador personalizado.
En Tipo de analizador con el que se debe comenzar, selecciona el analizador precompilado actual o la actualización del analizador pendiente.
Haz clic en Crear.
La versión seleccionada se activa para el proceso de normalización después de 20 minutos. Aparece como Personalizado y Activo en la lista de analizadores de la página Analizadores. La versión compilada previamente anterior aparece como Compilada previamente e Inactiva.
Revierte una actualización anticipada del analizador precompilado
Si activaste la actualización del analizador antes de tiempo, puedes volver a la versión anterior hasta la cuarta semana del mes, cuando la actualización se activa automáticamente.
Para volver a la versión anterior del analizador, sigue estos pasos:
En el menú Aplicación de , selecciona Configuración > Analizadores.
Haz clic en Menú junto al analizador que deseas revertir.
Haz clic en Ver.
Aparecerá la página Ver analizador precompilado.
Haz clic en Revertir a la versión anterior.
Aparecerá el diálogo Revertir a la versión anterior. Puedes hacer clic en Comparar analizadores en el diálogo para ver la diferencia entre la versión actual y la anterior.
Haz clic en Confirmar para revertir el analizador a su versión anterior.
El analizador se revierte a su versión anterior después de 20 minutos.
Analiza el impacto de la próxima versión del analizador
La verificación de impacto te permite evaluar el impacto potencial de la próxima versión del analizador en tus reglas de detección antes de aplicar los cambios. En el caso de las reglas afectadas de forma negativa, puedes seguir los vínculos para investigar y actualizar tus reglas según corresponda.
En el caso de las reglas de evento único, el análisis verifica las detecciones que generaron tus reglas de detección durante los últimos 30 días. Ejecuta las versiones actual y futura del analizador en los eventos correspondientes a esas detecciones. Este proceso vuelve a generar las detecciones para verificar si hay discrepancias.
En el caso de las reglas de varios eventos, el análisis usa una muestra de tus eventos en lugar de todos los eventos para realizar un análisis heurístico. Si los eventos no coinciden, este análisis marca el resultado como Potencialmente fallido.
Para ejecutar un análisis del impacto de la próxima versión del analizador en tus reglas de detección, haz lo siguiente:
- En la consola de Google SecOps, ve a Configuración > Configuración de SIEM > Analizadores.
- Selecciona un Tipo de registro específico (analizador precompilado).
- Selecciona una de las opciones de actualización del analizador: Actualizar a la versión más reciente, Revertir a la última versión utilizada o Habilitar una versión candidata para lanzamiento.
- Ve a la pestaña Impacto del analizador y haz clic en Comprobar el impacto en las reglas. La verificación de impacto puede tardar un tiempo en completarse.
Cuando se complete, el sistema mostrará lo siguiente:
- Metadatos del analizador y una lista de reglas que se ven afectadas por la versión nueva, con detalles del tipo de regla y los campos de UDM que muestran diferencias.
El sistema clasifica las reglas afectadas de forma negativa de la siguiente manera:
- Con errores: El nuevo analizador no generó una detección, pero el actual sí.
- Potencialmente con errores: Reglas (incluidas las de varios eventos) en las que cambiaron los campos de UDM en la lógica de la regla. Debes investigar más estas reglas.
Para cada una de ellas, sigue el vínculo al editor de reglas para investigar y editar la regla de modo que funcione con la nueva versión del analizador.
Administra las versiones de los analizadores compilados previamente
Google SecOps proporciona y mantiene analizadores compilados previamente para garantizar que tus registros se analicen correctamente. Puedes controlar cómo se aplican las versiones nuevas del analizador en tu entorno para satisfacer las necesidades de tu organización.
En esta sección, se describe el ciclo de vida completo de la administración de versiones del analizador en Google SecOps. Esto incluye habilitar o inhabilitar las actualizaciones automáticas, comparar la lógica entre versiones, actualizar de forma manual a versiones nuevas y revertir a versiones anteriores.
Habilita o inhabilita las actualizaciones automáticas del analizador
Si desactivas las actualizaciones automáticas, el analizador permanecerá en su versión actual hasta que las actives o lo actualices de forma manual. Para desactivar las actualizaciones automáticas, haz lo siguiente:
En el menú Aplicación de , selecciona Configuración > Analizadores.
Haz clic en Menú para el analizador precompilado requerido.
Haz clic en Desactivar actualizaciones automáticas.
Cuando las actualizaciones automáticas están habilitadas, el analizador se actualiza con cada nueva versión estable. Para activar las actualizaciones automáticas, haz lo siguiente:
En el menú Aplicación de , selecciona Configuración > Analizadores.
Haz clic en Menú para el analizador precompilado requerido.
Haz clic en Activar las actualizaciones automáticas.
Actualiza una versión del analizador de forma manual
Si las actualizaciones automáticas están desactivadas, puedes elegir cuándo actualizar un analizador a una versión nueva. Esto te permite revisar los cambios antes de aplicarlos.
En el menú Aplicación de , selecciona Configuración > Analizadores.
Haz clic en Menú para el analizador obligatorio.
Selecciona Actualizar a la versión más reciente.
Aparecerá la página Comparar analizadores. Puedes ver lo siguiente:
La diferencia de código entre la versión actual y la nueva del analizador.
La pestaña Registro de cambios, que resume los cambios
Es el resultado de UDM para el registro sin procesar de muestra. Para probar el resultado con un registro diferente, haz clic en Editar para editar el registro sin procesar de muestra.
La fecha y hora en que se actualizó por última vez el código del analizador.
Haz clic en Actualizar analizador para actualizarlo a la versión más reciente.
Revierte una versión del analizador
Puedes revertir un analizador a la versión que usaste por última vez, sin importar su estado de actualización automática. Para revertir una versión del analizador, haz lo siguiente:
En el menú Aplicación de , selecciona Configuración > Analizadores.
Haz clic en Menú para el analizador obligatorio.
Selecciona Revertir a la última versión usada.
Aparecerá la página Comparar analizadores. Puedes ver lo siguiente:
Es la diferencia de código entre la versión actual y la última versión del analizador utilizada.
La pestaña Registro de cambios, que muestra los cambios
Es el resultado de UDM para el registro sin procesar de muestra. Para probar el resultado con un registro diferente, haz clic en Editar para editar el registro sin procesar de muestra.
La fecha y hora en que se actualizó por última vez el código del analizador.
Haz clic en Proceder a revertir para volver a la última versión usada.
El analizador se revierte a la última versión que usaste. Por ejemplo, si actualizaste de la versión 17.0 a la 24.0, la reversión te devolverá a la 17.0, no a la 23.0.
Solo puedes realizar una reversión consecutiva. Después de realizar una reversión, la opción Revertir ya no estará disponible.
Política de asistencia para versiones anteriores del analizador
Solo la versión estable más reciente de un analizador precompilado recibe correcciones de errores y mejoras. Si inhabilitas las actualizaciones automáticas y permaneces en una versión anterior del analizador, esa versión no recibirá parches ni actualizaciones. Si informas problemas con esta versión anterior, la próxima versión estable incluirá la corrección. Debes actualizar manualmente el analizador a la versión estable más reciente para recibir la corrección.
Crea una extensión
Las extensiones de analizador proporcionan una forma flexible de extender las capacidades de los analizadores precompilados (predeterminados) existentes. No reemplazan los analizadores prediseñados. En su lugar, permiten la extracción sin problemas de campos adicionales del registro sin procesar original al registro de UDM. Una extensión de analizador es diferente de un analizador personalizado.
Para crear una extensión de analizador, consulta Usa extensiones de analizador.
Controla el acceso a la administración de analizadores
De forma predeterminada, los usuarios con los roles de Administrador y Editor pueden administrar las actualizaciones del analizador. Se pueden otorgar permisos nuevos para controlar quién puede ver y administrar estas actualizaciones.
Para obtener más información sobre cómo administrar usuarios y grupos, o asignar roles, consulta la guía del usuario sobre el control de acceso basado en roles.
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.