事前構築済みパーサーを管理する
このドキュメントでは、Google Security Operations 内でパーサーを管理する方法について説明します。ビルド済みパーサーの更新を処理する方法、パーサー拡張機能を作成する方法、パーサー管理へのアクセスを制御する方法について詳しく説明します。
パーサーとは
Google Security Operations のパーサーは、さまざまなソースの未加工ログデータを統合データモデル（UDM）形式に変換する一連の指示です。未加工ログを UDM に正規化することは、Google SecOps が元のログ形式に関係なく、取り込まれたすべてのデータにわたってセキュリティ イベントを効果的に分析、検索、相関付けできるようにするために不可欠です。ログ解析の概要については、ログ解析の概要をご覧ください。
パーサーが必要な理由
パーサーは、Google SecOps 内でセキュリティ データを使用できるようにするために不可欠です。適切な解析が行われないと、未加工のログは構造化されないままとなり、効果的な検索、他のセキュリティ イベントとの関連付け、検出ルールでの使用ができません。正規化プロセスでは、元データが拡充され、主要なフィールドが標準化されたスキーマにマッピングされます。このスキーマが Google SecOps の分析機能を支えています。
プラットフォームに表示されるパーサー
Google SecOps プラットフォームの [パーサー] ページには、すでにデータを取り込んだログタイプの事前構築済みパーサーのみが表示されます。特定のログタイプのログをまだ取り込んでいない場合、対応する事前構築済みパーサーはプラットフォームに表示されません。
たとえば、UDM（udmevents API を使用して取り込まれたログ、または未加工ログなしで取り込まれたログ）や特定の Mandiant ログ（CreateEntities API を使用して取り込まれたログ）などのログタイプは、すでに構造化形式になっているため、関連付けられたパーサーを必要とせず、関連付けられたパーサーもありません。そのため、[パーサー] ページには表示されません。
プラットフォームで事前構築済みパーサーを表示するには、その特定のログタイプのデータが正常に取り込まれていることを確認してください。
このドキュメントでは、パーサー管理の次の重要な側面について説明します。
パーサーのタイプ
パーサーの種類とその機能について理解する。
| パーサーのタイプ | 説明 |
|---|---|
| 事前構築済み | Google SecOps によって作成されたパーサー。元のログデータを UDM フィールドに変換するための組み込みマッピングが含まれています。 |
| 事前構築済み拡張 | 追加のマッピング指示を使用してお客様が作成した事前構築済みパーサー。元の未加工ログから追加データを抽出し、UDM レコードに挿入します。 |
| カスタム | 事前構築されておらず、元のログデータを UDM フィールドに変換するためのカスタム データ マッピング指示を含むパーサー。詳細については、カスタム パーサーを構成するをご覧ください。 |
| カスタム機能の拡張 | パーサー拡張機能を使用して追加のマッピング指示を行い、元の未加工ログから追加データを抽出し UDM レコードに挿入するカスタム パーサー。 |
事前構築済みパーサーのアップデートを管理する
Google SecOps は通常、毎月 4 週目に事前構築済みパーサーをアップデートします。これらのアップデートは、まず早期アクセスとテストのために提供されます。今後のパーサーのアップデートが利用可能になると、パーサーのリストでアップデートが [Pending] とマークされます。以前のパーサー バージョンと新しいパーサー バージョンの違いを確認したり、パーサーのアップデートを早期に有効にしてテストしたり、アップデートをスキップしてカスタム パーサーを作成したりできます。
保留中のアップデートを表示するには、次の操作を行います。
Google SecOps インスタンスにログインします。
[Settings] > [SIEM Settings] > [Parsers] を選択します。
[フィルタ] をクリックします。
リストから [Prebuilt]、[Active]、[Prebuilt Extended] を選択します。
有効な（デフォルトの）構築済みパーサーのリストが表示されます。今後行われるパーサーのアップデートは、[Update] 列に [Pending] と表示されます。
[Menu] をクリックし、リストから [View pending update] を選択します。
[Compare parsers] ページが表示されます。ここで、次の内容を表示できます。
現在のパーサー バージョンと今後のもののコード差異
[Change logs] タブの変更ログ
サンプリングされた未加工ログに対して生成された UDM イベント
パーサーが作成された日時
パーサー コードが最後にアップデートされた日時
パーサーのアップデートを早期に有効にするか、アップデートをスキップしてカスタム パーサーを作成するか、月の第 4 週にアップデートが自動適用されるまで待つことができます。
パーサーのアップデートを早期に有効にする
パーサー管理機能を使用すると、パーサーのアップデートを早期に有効にできます。たとえば、テストする場合です。
パーサーのアップデートを早期に有効にするには、次の手順を行います。
[Compare parsers] ページで、[Make parser update active] をクリックします。
[Confirm parser update] ダイアログが表示されます。
[確認] をクリックします。
パーサーは、20 分後に正規化プロセスで有効になります。
構築済みパーサーのアップデートをスキップする
現在の構築済みパーサーと今後の構築済みパーサーのアップデートをスキップするには、次のようにカスタム パーサーを作成します。
[Compare parsers] ページで、[Skip update] をクリックします。
[Skip update and create custom parser] ウィンドウが表示されます。
[カスタム パーサーを作成] をクリックします。
[Type of parser to start with] で、現在の [Prebuilt Parser] または [Pending Parser Update] を選択します。
[作成] をクリックします。
選択したバージョンは、20 分後に正規化プロセスで有効になります。これは、[Parsers] ページのパーサー リストに、[Custom] と [Active] と表示されます。以前の構築済みバージョンは [Prebuilt] と [Inactive] として表示されます。
事前構築されたパーサーの早期アップデートを元に戻す
パーサーのアップデートを早期に有効にした場合は、アップデートが自動的に有効になる月の第 4 週まで、以前のバージョンに戻すことができます。
以前のパーサー バージョンに戻すには、次の手順に沿って操作します。
アプリケーション メニューから、[Settings] > [Parsers] を選択します。
元に戻すパーサーの [Menu] をクリックします。
[表示] をクリックします。
[View prebuilt parser] ページが表示されます。
[以前のバージョンに戻す] をクリックします。
[Revert to previous] ダイアログが表示されます。ダイアログで [パーサーを比較] をクリックすると、現在のバージョンと以前のものとの違いを確認できます。
[Confirm] をクリックして、パーサーを以前のバージョンに戻します。
パーサーは 20 分後に以前のバージョンに戻されます。
今後のパーサー バージョンの影響を分析する
影響チェックを使用すると、変更を適用する前に、今後のパーサー バージョンが検出ルールに与える潜在的な影響を評価できます。悪影響を受けたルールについては、リンクをたどって調査し、ルールを更新できます。
単一イベントルールの場合、分析では、過去 30 日間に検出ルールによって生成された検出がチェックされます。これらの検出に対応するイベントで、現在のパーサー バージョンと今後のパーサー バージョンの両方を実行します。このプロセスでは、検出結果が再生成され、不一致がチェックされます。
マルチイベント ルールの場合、分析ではすべてのイベントではなく、イベントのサンプルを使用してヒューリスティック分析が実行されます。イベントが一致しない場合、この分析では結果が失敗の可能性ありとしてマークされます。
今後のパーサー バージョンが検出ルールに与える影響を分析するには、次の操作を行います。
- Google SecOps コンソールで、[設定] > [SIEM 設定] > [パーサー] に移動します。
- 特定のログタイプ（事前構築済みパーサー）を選択します。
- パーサーの更新オプション（[最新バージョンに更新]、[最後に使用したバージョンにロールバック]、[リリース候補版をオプトイン]）のいずれかを選択します。
- パーサーの [影響] タブに移動し、[ルールへの影響を確認] をクリックします。影響の確認には時間がかかることがあります。
完了すると、システムに次のように表示されます。
- パーサーのメタデータと、新しいバージョンの影響を受けるルールのリスト。ルールの種類と、差異を示す UDM フィールドの詳細が表示されます。
悪影響を受けるルールは、次のように分類されます。
- 失敗: 新しいパーサーでは検出が生成されませんでしたが、現在のパーサーでは生成されました。
- 失敗の可能性あり: ルールロジックの UDM フィールドが変更されたルール（マルチイベントを含む）。これらのルールをさらに調査する必要があります。
それぞれについて、ルールエディタへのリンクをたどり、ルールを調査して編集し、新しいパーサー バージョンで動作するようにします。
事前構築済みパーサーのバージョンを管理する
Google SecOps は、ログが正しく解析されるように、事前構築済みのパーサーを提供し、維持しています。組織のニーズに合わせて、新しいパーサー バージョンを環境に適用する方法を制御できます。
このセクションでは、Google SecOps のパーサー バージョン管理のライフサイクル全体について説明します。これには、自動更新の有効化と無効化、バージョン間のロジックの比較、新しいバージョンへの手動更新、以前のバージョンへのロールバックが含まれます。
パーサーの自動更新を有効または無効にする
自動更新をオフにすると、自動更新をオンにするか、手動で更新するまで、パーサーは現在のバージョンのままになります。自動更新をオフにするには、次の操作を行います。
アプリケーション メニューから、[Settings] > [Parsers] を選択します。
必要なビルド済みパーサーの [メニュー] をクリックします。
[自動更新をオフにする] をクリックします。
自動更新が有効になっている場合、パーサーは新しい安定版リリースごとに更新されます。自動更新を有効にするには、次の操作を行います。
アプリケーション メニューから、[Settings] > [Parsers] を選択します。
必要なビルド済みパーサーの [メニュー] をクリックします。
[自動更新を有効にする] をクリックします。
パーサーのバージョンを手動で更新する
自動更新がオフになっている場合は、パーサーを新しいバージョンに更新するタイミングを選択できます。これにより、変更を適用する前に変更内容を確認できます。
のアプリケーション メニューから、[Settings] > [Parsers] を選択します。
必要なパーサーの メニューをクリックします。
[最新バージョンに更新] を選択します。
[Compare parsers] ページが表示されます。表示される情報は次のとおりです。
現在のパーサー バージョンと新しいパーサー バージョンのコードの違い。
[変更ログ] タブ。変更の概要が表示されます。
サンプリングされた未加工ログの UDM 出力。別のログに対して出力をテストするには、 [編集] をクリックして、サンプリングされた未加工ログを編集します。
パーサー コードが最後に更新された日時。
[パーサーを更新] をクリックして、最新バージョンに更新します。
パーサー バージョンをロールバックする
自動更新のステータスに関係なく、パーサーを最後に使用したバージョンに戻すことができます。パーサーのバージョンをロールバックする手順は次のとおりです。
アプリケーション メニューから、[Settings] > [Parsers] を選択します。
必要なパーサーの メニューをクリックします。
[最後に使用したバージョンにロールバック] を選択します。
[Compare parsers] ページが表示されます。表示される情報は次のとおりです。
現在使用されているパーサー バージョンと最後に使用されたパーサー バージョンのコードの違い。
[変更ログ] タブ。変更が表示されます。
サンプリングされた未加工ログの UDM 出力。別のログに対して出力をテストするには、 [編集] をクリックして、サンプリングされた未加工ログを編集します。
パーサー コードが最後に更新された日時。
[ロールバックに進む] をクリックして、最後に使用したバージョンに戻します。
パーサーは、最後に使用したバージョンにロールバックされます。たとえば、バージョン 17.0 から 24.0 にアップグレードした場合、ロールバックすると 23.0 ではなく 17.0 に戻ります。
連続して実行できるロールバックは 1 回のみです。ロールバックを実行すると、[ロールバック] オプションは使用できなくなります。
以前のパーサー バージョンのサポート ポリシー
バグの修正と機能強化は、ビルド済みパーサーの最新の安定版にのみ適用されます。自動更新を無効にして以前のパーサー バージョンを使い続けると、そのバージョンにはパッチやアップデートが適用されません。この早期バージョンで問題が報告された場合、次の安定版リリースに修正が含まれます。この修正を適用するには、パーサーを最新の安定版に手動でアップグレードする必要があります。
拡張機能を作成する
パーサー拡張機能を使用すると、既存の構築済み（デフォルト）パーサーの機能を柔軟に拡張できます。事前ビルドされたパーサーを置き換えるものではありません。代わりに、元の未加工ログから UDM レコードに追加フィールドをシームレスに抽出できます。パーサー拡張機能はカスタム パーサーとは異なります。
パーサー拡張機能を作成するには、パーサー拡張機能の使用をご覧ください。
パーサー管理へのアクセスを制御する
デフォルトでは、管理者と編集者のロールを持つユーザーは、パーサーのアップデートを管理できます。これらのアップデートを表示、管理できるユーザーを制御する新しい権限を付与できます。
ユーザーとグループの管理、またはロールの割り当ての詳細については、ロールベース アクセス制御ユーザーガイドをご覧ください。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。