ניהול מנתחי נתונים מובנים מראש

נתמך ב:

במאמר הזה מוסבר איך לנהל מנתחי נתונים ב-Google Security Operations. הוא מסביר איך לטפל בעדכונים של מנתחי נתונים מובנים, ליצור תוספים למנתחי נתונים ולשלוט בגישה לניהול של מנתחי נתונים.

מהם מנתחי נתונים?

ב-Google Security Operations, מנתח הוא קבוצה של הוראות שהופכות נתוני יומן גולמיים ממקורות שונים לפורמט של מודל נתונים מאוחד (UDM). חשוב לנרמל את היומנים הגולמיים ל-UDM כי זה מאפשר ל-Google SecOps לנתח, לחפש ולתאם אירועי אבטחה ביעילות בכל הנתונים שנקלטו, בלי קשר לפורמט המקורי של היומן. לסקירה כללית על ניתוח יומנים, קראו את המאמר סקירה כללית על ניתוח יומנים.

למה צריך מנתחים?

מנתחי נתונים חיוניים כדי שתוכלו להשתמש בנתוני האבטחה שלכם ב-Google SecOps. בלי ניתוח תקין, היומנים הגולמיים נשארים לא מובְנים ואי אפשר לחפש בהם ביעילות, לקשר אותם לאירועי אבטחה אחרים או להשתמש בהם בכללי זיהוי. תהליך הנורמליזציה מעשיר את הנתונים הגולמיים, וממפה שדות מפתח לסכימה סטנדרטית שמפעילה את יכולות הניתוח של Google SecOps.

אילו מנתחים מופיעים בפלטפורמה?

בדף Parsers בפלטפורמת Google SecOps מוצגים מנתחי נתונים מובנים מראש רק לסוגי היומנים שכבר הטמעתם בהם נתונים. אם עדיין לא הטמעתם יומנים מסוג מסוים, המנתח המובנה המתאים לא יופיע בפלטפורמה.

לדוגמה, סוגי יומנים כמו UDM (שנאספים באמצעות ה-API של udmevents או בלי יומנים גולמיים) ויומנים מסוימים של Mandiant (שנאספים באמצעות ה-API של CreateEntities) לא דורשים מנתחים משויכים ואין להם כאלה, כי הם כבר בפורמט מובנה. לכן, הם לא יופיעו בדף מנתחי הנתונים.

כדי לראות מנתח מובנה בפלטפורמה, ודאו שהנתונים של סוג היומן הספציפי הזה נטמעו בהצלחה.

במסמך הזה מפורטים ההיבטים העיקריים הבאים של ניהול מנתחי נתונים:

סוגי מנתחים

הסבר על סוגי מנתחים והפונקציות שלהם:

סוג ניתוח תיאור
מוכן מראש מנתחי נתונים שנוצרו על ידי Google SecOps וכוללים מיפויים מובנים להמרת נתוני יומן מקוריים לשדות UDM.
מובנה מורחב מנתח מובנה שנוצר על ידי לקוחות עם הוראות מיפוי נוספות לחילוץ נתונים נוספים מיומן גולמי מקורי והוספה שלהם לרשומת ה-UDM.
בהתאמה אישית מנתח שלא נבנה מראש ויש לו הוראות מותאמות אישית למיפוי נתונים כדי להמיר את נתוני היומן המקוריים לשדות UDM. מידע נוסף זמין במאמר הגדרת מנתחים מותאמים אישית.
מותאם אישית – מורחב מנתח מותאם אישית עם הוראות מיפוי נוספות, שמשתמש בתוסף למנתח כדי לחלץ נתונים נוספים מיומן גולמי מקורי ולהוסיף אותם לרשומת ה-UDM.

ניהול עדכונים של מנתחי נתונים מובנים

בדרך כלל, המערכת של Google SecOps מעדכנת את המנתחים המובנים שלה במהלך השבוע הרביעי בכל חודש. העדכונים האלה זמינים קודם ללקוחות לצורך גישה מוקדמת ובדיקה. כשהעדכונים הקרובים של המנתח זמינים, הם מסומנים כעדכון בהמתנה ברשימת המנתחים. אתם יכולים לבדוק את ההבדל בין גרסאות המנתח הקודמות והחדשות יותר, או להפעיל את עדכון המנתח מוקדם כדי לבדוק אותו, או לדלג על העדכון וליצור מנתח מותאם אישית.

כדי לראות את העדכון שממתין לאישור:

  1. נכנסים למכונה של Google SecOps.

  2. בוחרים באפשרות Settings ‏ > SIEM Settings ‏ > Parsers.

  3. לוחצים על סינון.

  4. בוחרים באפשרויות Prebuilt (מוגדר מראש), Active (פעיל) ו-Prebuilt Extended (מוגדר מראש מורחב) מהרשימה.

    מוצגת רשימה של מנתחי נתונים פעילים (ברירת מחדל) שנוצרו מראש. עדכונים עתידיים של מנתחים מסומנים כבהמתנה בעמודה עדכון.

  5. לוחצים על Menu ובוחרים באפשרות View pending update מהרשימה.

    מופיע הדף Compare parsers. כאן אפשר לראות את הפרטים הבאים:

    • ההבדל בקוד בין גרסת המנתח הנוכחית לגרסה הבאה

    • ניתוח ההשפעה של גרסת המנתח הקרובה על כללי הזיהוי

    • יומני השינויים בכרטיסייה יומני שינויים

    • אירוע ה-UDM שנוצר ליומן הגולמי שנדגם

    • התאריך והשעה שבהם המנתח נוצר

    • התאריך והשעה שבהם קוד המנתח עודכן לאחרונה

    אתם יכולים להפעיל את העדכון של המנתח מוקדם יותר, לדלג על העדכון וליצור מנתח בהתאמה אישית, או לחכות שהעדכון יופעל באופן אוטומטי במהלך השבוע הרביעי של החודש.

הפעילו את העדכון של המנתח כמה שיותר מוקדם

תכונת ניהול המנתחים מאפשרת לכם להפעיל את עדכון המנתח מוקדם יותר. לדוגמה, אם אתם רוצים לבדוק אותו.

כדי להפעיל את העדכון של המנתח מוקדם יותר, פועלים לפי השלבים הבאים:

  1. בדף Compare parsers, לוחצים על Make parser update active.

    מופיעה תיבת הדו-שיח Confirm parser update.

  2. לוחצים על אישור.

    המנתח מופעל לתהליך הנורמליזציה אחרי 20 דקות.

דילוג על עדכונים של מנתחי נתונים מובנים

כדי לדלג על העדכונים הנוכחיים והעתידיים של המנתח המובנה, יוצרים מנתח מותאם אישית באופן הבא:

  1. בדף Compare parsers, לוחצים על Skip update.

    מופיע החלון דילוג על העדכון ויצירת מנתח מותאם אישית.

  2. לוחצים על יצירת מנתח מותאם אישית.

  3. בשדה Type of parser to start with, בוחרים את Prebuilt Parser הנוכחי או את Pending Parser Update.

  4. לוחצים על יצירה.

    הגרסה שנבחרה מופעלת לתהליך הנורמליזציה אחרי 20 דקות. הוא מופיע בתור Custom ו-Active ברשימת המנתחים בדף Parsers. הגרסה הקודמת שנוצרה מראש מופיעה כ-Prebuilt וכ-Inactive.

ביטול עדכון מוקדם של המנתח המובנה

אם הפעלתם את העדכון של המנתח מוקדם, אתם עדיין יכולים לחזור לגרסה הקודמת עד השבוע הרביעי של החודש, שבו העדכון מופעל באופן אוטומטי.

כדי לחזור לגרסה הקודמת של המנתח, פועלים לפי השלבים הבאים:

  1. בתפריט האפליקציה , בוחרים באפשרות Settings ואז ב-Parsers.

  2. לוחצים על Menu לצד המנתח שרוצים להחזיר לגרסה הקודמת.

  3. לוחצים על הצגה.

    מופיע הדף View prebuilt parser.

  4. לוחצים על חזרה לגרסה הקודמת.

    מופיעה תיבת הדו-שיח חזרה לגרסה הקודמת. אפשר ללחוץ על Compare Parsers בתיבת הדו-שיח כדי לראות את ההבדל בין הגרסה הנוכחית לגרסה הקודמת.

  5. לוחצים על Confirm כדי להחזיר את המנתח לגרסה הקודמת שלו.

    המנתח חוזר לגרסה הקודמת שלו אחרי 20 דקות.

ניתוח ההשפעה של גרסת המנתח הבאה

בדיקת ההשפעה מאפשרת לכם להעריך את ההשפעה הפוטנציאלית של גרסת המנתח הקרובה על כללי הזיהוי שלכם לפני החלת השינויים. אם יש כללים שהושפעו לרעה, אתם יכולים ללחוץ על הקישורים כדי לבדוק ולעדכן את הכללים בהתאם.

בכללי אירוע יחיד, הניתוח בודק את הזיהויים שכללי הזיהוי יצרו ב-30 הימים האחרונים. הוא מריץ גם את הגרסה הנוכחית וגם את הגרסה הבאה של המנתח על האירועים שתואמים לזיהויים האלה. התהליך הזה יוצר מחדש את הזיהויים כדי לבדוק אם יש חוסר התאמה.

בכללים עם כמה אירועים, הניתוח מתבצע על סמך דגימה של האירועים ולא על סמך כל האירועים, כדי לבצע ניתוח היוריסטי. אם האירועים לא תואמים, הניתוח הזה מסמן את התוצאה כעלולה להיכשל.

כדי להריץ ניתוח של ההשפעה של גרסת המנתח הקרובה על כללי הזיהוי:

  1. במסוף Google SecOps, עוברים אל Settings ‏ > SIEM Settings ‏ > Parsers.
  2. בוחרים סוג יומן ספציפי (מנתח מובנה).
  3. בוחרים אחת מהאפשרויות לעדכון המנתח: עדכון לגרסה העדכנית, חזרה לגרסה האחרונה שהייתה בשימוש או הצטרפות לגרסה מועמדת להפצה.
  4. עוברים לכרטיסייה Impact של המנתח ולוחצים על Check impact on rules. יכול להיות שיעבור קצת זמן עד להשלמת בדיקת ההשפעה.

  5. בסיום, המערכת תציג את הפרטים הבאים:

    • מטא-נתונים של המנתח ורשימת כללים שהגרסה החדשה משפיעה עליהם, עם פירוט של סוג הכלל ושדות ה-UDM שבהם יש הבדלים.

    • המערכת מסווגת את הכללים שהושפעו לרעה באופן הבא:

      • נכשל: המנתח החדש לא זיהה את הבעיה, אבל המנתח הנוכחי כן זיהה אותה.
      • עלול להיכשל: כללים (כולל כללים עם כמה אירועים) שבהם השתנו שדות UDM בלוגיקה של הכלל. אתם צריכים לבדוק את הכללים האלה לעומק.

    לכל אחד מהכללים האלה, לוחצים על הקישור לעורך הכללים כדי לבדוק ולערוך את הכלל כך שיפעל עם גרסת המנתח החדשה.

ניהול גרסאות של מנתחי נתונים מובנים מראש

ב-Google SecOps יש מנתחי נתונים מובנים שמתוחזקים באופן שוטף, כדי לוודא שהיומנים מנותחים בצורה נכונה. אתם יכולים לקבוע איך גרסאות חדשות של מנתחי נתונים יופעלו בסביבה שלכם, בהתאם לצורכי הארגון.

בקטע הזה מתואר מחזור החיים המלא של ניהול גרסאות המנתחים ב-Google SecOps. זה כולל הצטרפות לעדכונים אוטומטיים וביטול ההצטרפות, השוואה בין הלוגיקה של הגרסאות, עדכון ידני לגרסאות חדשות וחזרה לגרסאות קודמות.

הפעלה והשבתה של עדכונים אוטומטיים של מנתח הנתונים

אם משביתים את העדכונים האוטומטיים, מנתח הנתונים נשאר בגרסה הנוכחית שלו עד שמפעילים את העדכונים האוטומטיים או מעדכנים אותו באופן ידני. כדי להשבית את העדכונים האוטומטיים:

  1. בתפריט האפליקציה , בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על Menu במנתח המובנה הנדרש.

  3. לוחצים על השבתת העדכונים האוטומטיים.

כשהעדכונים האוטומטיים מופעלים, המנתח מתעדכן בכל גרסה יציבה חדשה. כדי להפעיל עדכונים אוטומטיים:

  1. בתפריט האפליקציה , בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על Menu במנתח המובנה הנדרש.

  3. לוחצים על הפעלת עדכונים אוטומטיים.

עדכון ידני של גרסת מנתח

אם העדכונים האוטומטיים מושבתים, אתם יכולים לבחור מתי לעדכן מנתח לגרסה חדשה. כך תוכלו לבדוק את השינויים לפני שתאשרו אותם.

  1. בתפריט האפליקציה , בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על Menu במנתח הנדרש.

  3. לוחצים על עדכון לגרסה העדכנית.

    מופיע הדף Compare parsers. אתם יכולים לראות את הפרטים הבאים:

    • ההבדל בקוד בין גרסת המנתח הנוכחית לגרסה החדשה.

    • הכרטיסייה יומן שינויים, שבה מופיע סיכום של השינויים.

    • הפלט של ה-UDM ליומן הגולמי שנדגם. כדי לבדוק את הפלט מול יומן אחר, לוחצים על Edit כדי לערוך את היומן הגולמי שנדגם.

    • התאריך והשעה שבהם קוד המנתח עודכן לאחרונה.

  4. לוחצים על עדכון המנתח כדי לעדכן אותו לגרסה העדכנית.

חזרה לגרסה קודמת של מנתח (parser)

אתם יכולים להחזיר מנתח לגרסה האחרונה שהשתמשתם בה, בלי קשר לסטטוס העדכון האוטומטי שלו. כדי לחזור לגרסה קודמת של מנתח:

  1. בתפריט האפליקציה , בוחרים באפשרות הגדרות > מנתחי נתונים.

  2. לוחצים על Menu של המנתח הנדרש.

  3. בוחרים באפשרות חזרה לגרסה האחרונה שהייתה בשימוש.

    מופיע הדף Compare parsers. אתם יכולים לראות את הפרטים הבאים:

    • ההבדל בקוד בין גרסת המנתח הנוכחית לבין הגרסה האחרונה שנעשה בה שימוש.

    • הכרטיסייה יומן שינויים, שבה מוצגים השינויים.

    • הפלט של ה-UDM ליומן הגולמי שנדגם. כדי לבדוק את הפלט מול יומן אחר, לוחצים על Edit כדי לערוך את היומן הגולמי שנדגם.

    • התאריך והשעה שבהם קוד המנתח עודכן לאחרונה.

  4. לוחצים על המשך החזרה לגרסה קודמת כדי לחזור לגרסה האחרונה שהייתה בשימוש.

המנתח חוזר לגרסה האחרונה שהשתמשתם בה. לדוגמה, אם שדרגתם מגרסה 17.0 לגרסה 24.0, החזרה לגרסה קודמת תחזיר אתכם לגרסה 17.0, ולא לגרסה 23.0.

אפשר לבצע רק החזרה אחת למצב קודם ברצף. אחרי שמבצעים חזרה לגרסה קודמת, האפשרות חזרה לגרסה קודמת לא זמינה יותר.

מדיניות התמיכה בגרסאות קודמות של מנתח הנתונים

רק הגרסה היציבה האחרונה של מנתח מובנה מקבלת תיקוני באגים ושיפורים. אם תשביתו את העדכונים האוטומטיים ותישארו עם גרסה קודמת של המנתח, הגרסה הזו לא תקבל תיקונים או עדכונים. אם תדווחו על בעיות בגרסה המוקדמת, הגרסה היציבה הבאה תכלול את התיקון. כדי לקבל את התיקון, צריך לשדרג את המנתח באופן ידני לגרסה היציבה האחרונה.

יצירת תוסף

תוספי מנתח מספקים דרך גמישה להרחיב את היכולות של מנתחים קיימים שנוצרו מראש (ברירת מחדל). הם לא מחליפים מנתחי נתונים מובנים. במקום זאת, הם מאפשרים לחלץ בצורה חלקה שדות נוספים מהיומן המקורי לרשומת ה-UDM. תוסף לניתוח שונה ממנתח מותאם אישית.

כדי ליצור תוסף לנתח, קראו את המאמר שימוש בתוספים לנתח.

שליטה בגישה לניהול מנתחי נתונים

כברירת מחדל, משתמשים עם תפקיד אדמין ועריכה יכולים לנהל את העדכונים של המנתח. אפשר להעניק הרשאות חדשות כדי לקבוע מי יכול לראות ולנהל את העדכונים האלה.

מידע נוסף על ניהול משתמשים וקבוצות או על הקצאת תפקידים זמין במדריך למשתמש בנושא בקרת גישה המבוססת על תפקידים (RBAC).

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.