Gerenciar analisadores pré-criados

Compatível com:

Google SecOps SIEM

Este documento fornece orientações sobre como gerenciar analisadores no Google Security Operations. Ele detalha como lidar com atualizações de analisadores pré-criados, criar extensões de analisador e controlar o acesso ao gerenciamento de analisadores.

O que são analisadores?

No Google Security Operations, um analisador é um conjunto de instruções que transforma dados de registro brutos de várias fontes no formato do Modelo de Dados Unificado (UDM). A normalização de registros brutos em UDM é essencial porque permite que o Google SecOps analise, pesquise e correlacione ocorrências de segurança de maneira eficaz em todos os dados ingeridos, independentemente do formato de registro original. Para uma visão geral da análise de registros, consulte Visão geral da análise de registros.

Por que os analisadores são necessários?

Os analisadores são essenciais para tornar seus dados de segurança utilizáveis no Google SecOps. Sem a análise adequada, os registros brutos permanecem não estruturados e não podem ser pesquisados de forma eficaz, correlacionados com outras ocorrências de segurança ou usados por regras de detecção. O processo de normalização enriquece os dados brutos, mapeando campos-chave em um esquema padronizado que alimenta os recursos analíticos do Google SecOps.

Quais analisadores aparecem na plataforma?

A página Analisadores na plataforma do Google SecOps mostra analisadores pré-criados apenas para os tipos de registro em que você já ingeriu dados. Se você ainda não tiver ingerido registros de um tipo específico, o analisador pré-criado correspondente não vai aparecer na plataforma.

Por exemplo, tipos de registro como UDM (ingeridos usando a API udmevents ou sem registros brutos) e determinados registros da Mandiant (ingeridos usando a API CreateEntities) não exigem nem têm analisadores associados, porque já estão em um formato estruturado. Por isso, eles não vão aparecer na página Analisadores.

Para ver um analisador predefinido na plataforma, verifique se você ingeriu dados para esse tipo de registro específico.

Este documento aborda os seguintes aspectos principais do gerenciamento de analisadores:

• Gerenciar atualizações de analisadores pré-criados
• Gerenciar versões de analisadores pré-criados
• Criar uma extensão
• Controlar o acesso ao gerenciamento de analisadores

Observação: somente caracteres UTF-8 são aceitos em mapeamentos de campo do UDM. O uso de outras codificações pode causar falhas de análise e impedir que os registros sejam pesquisados.

Tipos de analisador

Noções básicas sobre os tipos de analisador e as funções deles:

Tipo de analisador	Descrição
Pré-criado	Analisadores criados pelo Google SecOps que incluem mapeamentos integrados para transformar dados de registro originais em campos do UDM.
Pré-criado estendido	Um analisador pré-criado pelos clientes com instruções de mapeamento adicionais para extrair mais dados de um registro bruto original e inseri-los no registro do UDM.
Personalizado	Um analisador que não é pré-criado e tem instruções personalizadas de mapeamento de dados para transformar dados de registro originais em campos de UDM. Para mais informações, consulte Configurar analisadores personalizados.
Estendido personalizado	Um analisador personalizado com instruções de mapeamento adicionais que usa uma extensão de analisador para extrair dados adicionais de um registro bruto original e inseri-los no registro de UDM.

Gerenciar atualizações de analisadores pré-criados

O Google SecOps normalmente atualiza os analisadores pré-criados durante a quarta semana de cada mês. Essas atualizações são disponibilizadas primeiro para os clientes para acesso antecipado e testes. À medida que as próximas atualizações do analisador forem disponibilizadas, elas serão marcadas como Pendente na lista de analisadores. É possível examinar a diferença entre as versões anterior e mais recente do analisador, ativar a atualização do analisador com antecedência para testá-la ou pular a atualização e criar um analisador personalizado.

Importante: esse recurso exige que as atualizações automáticas do analisador estejam ativas. Para ativar essa configuração, consulte Ativar e desativar as atualizações automáticas do analisador.

Para ver a atualização pendente, faça o seguinte:

1. Faça login na sua instância do Google SecOps.

2. Selecione Configurações > Configurações do SIEM > Analisadores.

3. Clique em Filtrar.

4. Selecione Prebuilt, Active e Prebuilt Extended na lista.

   Uma lista de analisadores pré-criados ativos (padrão) é exibida. As próximas atualizações do analisador são marcadas como Pendente na coluna Atualizar.

5. Clique em Menu e selecione Ver atualização pendente na lista.

   A página Comparar analisadores é exibida. Aqui, você pode conferir:

   • A diferença de código entre a versão atual e a próxima versão do analisador

   • Analisar o impacto da próxima versão do analisador nas regras de detecção

   • Os registros de alterações na guia Registros de alterações

   • O evento de UDM gerado para o registro bruto de amostra

     Observação: a amostra exibida é aleatória e pode não mostrar todos os campos alterados. Para mudar o exemplo de registro, clique em "Editar" e insira seu próprio exemplo. Em seguida, clique em Atualizar.

   • A data e a hora em que o analisador foi criado

   • A data e a hora em que o código do analisador foi atualizado pela última vez

   Você pode ativar a atualização do analisador antes do prazo, pular a atualização e criar um analisador personalizado ou esperar que a atualização seja aplicada automaticamente durante a quarta semana do mês.

Ativar a atualização do analisador com antecedência

O recurso de gerenciamento de analisadores permite ativar a atualização do analisador com antecedência. Por exemplo, se você quiser testá-lo.

Para ativar a atualização do analisador com antecedência, siga estas etapas:

1. Na página Comparar analisadores, clique em Ativar atualização do analisador.

   A caixa de diálogo Confirmar atualização do analisador vai aparecer.

2. Clique em Confirmar.

   O analisador é ativado para o processo de normalização após 20 minutos.

   Observação: essa versão do analisador permanece ativa até o próximo ciclo de lançamento.

Pular atualizações do analisador pré-criado

Para pular as atualizações atuais e futuras do analisador pré-criado, crie um analisador personalizado da seguinte maneira:

1. Na página Comparar analisadores, clique em Pular atualização.

   A janela Pular atualização e criar analisador personalizado é exibida.

2. Clique em Criar analisador personalizado.

3. Em Tipo de analisador para começar, selecione o Analisador pré-criado atual ou a Atualização pendente do analisador.

4. Clique em Criar.

   Observação: se já houver um analisador personalizado para essa fonte de registro, não será possível criar outro. A seguinte mensagem é exibida: Já existe um analisador personalizado para esta origem de registro.

   A versão selecionada é ativada para o processo de normalização após 20 minutos. Ele aparece como Personalizado e Ativo na lista de analisadores na página Analisadores. A versão pré-criada anterior aparece como Pré-criada e Inativa.

   Observação: todas as atualizações futuras do analisador pré-criado permanecem visíveis, mas não são aplicadas, a menos que você desative o analisador personalizado e reverta para a versão pré-criada.

Reverter uma atualização antecipada do analisador pré-criado

Se você ativou a atualização do analisador antes do tempo, ainda é possível reverter para a versão anterior até a quarta semana do mês, quando a atualização é ativada automaticamente.

Para voltar à versão anterior do analisador, siga estas etapas:

1. No Menu do aplicativo, selecione Configurações > Analisadores.

2. Clique em Menu no analisador que você quer reverter.

3. Clique em Visualizar.

   A página Ver analisador pré-criado é exibida.

4. Clique em Reverter para a versão anterior.

   A caixa de diálogo Reverter para a versão anterior é exibida. Clique em Comparar analisadores na caixa de diálogo para ver a diferença entre as versões atual e anterior.

5. Clique em Confirmar para reverter o analisador para a versão anterior.

   O analisador é revertido para a versão anterior após 20 minutos.

Analisar o impacto da próxima versão do analisador

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Observação:esse recurso está em pré-lançamento particular e não está disponível para todos os clientes em todas as regiões. Os recursos em fase de pré-lançamento particular não são gerenciáveis na página do Gerenciador de Pré-lançamento Público na plataforma do Google SecOps.

A verificação de impacto permite avaliar o possível impacto da próxima versão do analisador nas regras de detecção antes de aplicar as mudanças. Para as regras afetadas negativamente, siga os links para investigar e atualizar as regras.

Para regras de evento único, a análise verifica as detecções geradas pelas regras de detecção nos últimos 30 dias. Ele executa as versões atual e futura do analisador nos eventos correspondentes a essas detecções. Esse processo gera novamente as detecções para verificar se há incompatibilidades.

Para regras de vários eventos, a análise usa uma amostra dos seus eventos, em vez de todos eles, para realizar uma análise heurística. Se os eventos não corresponderem, essa análise vai marcar o resultado como Potencialmente com falha.

Para analisar o impacto da próxima versão do analisador nas suas regras de detecção, faça o seguinte:

1. No console do Google SecOps, acesse Configurações > Configurações do SIEM > Analisadores.
2. Selecione um Tipo de registro específico (analisador pré-criado).
3. Selecione uma das opções de atualização do analisador: Atualizar para a versão mais recente, Reverter para a última versão usada ou Ativar uma versão candidata a lançamento.
4. Acesse a guia Impacto do analisador e clique em Verificar impacto nas regras. A verificação de impacto pode levar algum tempo para ser concluída.

5. Após a conclusão, o sistema exibe o seguinte:

   • Metadados do analisador e uma lista de regras afetadas pela nova versão, detalhando o tipo de regra e os campos de UDM que apresentam diferenças.

   • O sistema categoriza as regras afetadas negativamente da seguinte forma:

     • Com falha: o novo analisador não gerou uma detecção, mas o atual sim.
     • Com falha potencial: regras (incluindo as de vários eventos) em que os campos de UDM na lógica da regra foram alterados. Você precisa investigar essas regras mais a fundo.

   Para cada um deles, siga o link para o editor de regras para investigar e editar a regra para que ela funcione com a nova versão do analisador.

Gerenciar versões de analisadores pré-criados

O Google SecOps fornece e mantém analisadores pré-criados para garantir que seus registros sejam analisados corretamente. É possível controlar como as novas versões do analisador são aplicadas no ambiente para atender às necessidades da sua organização.

Nesta seção, descrevemos o ciclo de vida completo do gerenciamento de versões do analisador no Google SecOps. Isso inclui ativar e desativar as atualizações automáticas, comparar a lógica entre as versões, atualizar manualmente para novas versões e reverter para versões anteriores.

Observação :é possível visualizar os analisadores pré-criados do Google para testar novas versões. No entanto, não é possível usar a ferramenta de visualização para testar um analisador pré-criado atualizado enquanto um analisador personalizado ativo estiver em execução. É necessário desativar o analisador personalizado e voltar a usar um pré-criado.

Ativar e desativar as atualizações automáticas do analisador

Se você desativar as atualizações automáticas, o analisador vai permanecer na versão atual até que você as ative ou faça a atualização manual. Para desativar as atualizações automáticas, faça o seguinte:

1. No Menu do aplicativo, selecione Configurações > Analisadores.

2. Clique em Menu para o analisador pré-criado necessário.

3. Clique em Desativar atualizações automáticas.

Quando as atualizações automáticas estão ativadas, o analisador é atualizado a cada nova versão estável. Para ativar as atualizações automáticas, faça o seguinte:

1. No Menu do aplicativo, selecione Configurações > Analisadores.

2. Clique em Menu para o analisador pré-criado necessário.

3. Clique em Ativar atualizações automáticas.

Importante :para ativar um analisador de pré-lançamento, as atualizações automáticas precisam estar ativas e o analisador precisa estar na versão mais recente. A desativação das atualizações remove a opção de pré-lançamento e restaura a última versão estável usada para esse tipo de registro.

Atualizar uma versão do analisador manualmente

Se as atualizações automáticas estiverem desativadas, você poderá escolher quando atualizar um analisador para uma nova versão. Assim, você pode revisar as mudanças antes de aplicá-las.

Observação :só é possível fazer upgrade para a versão mais recente do analisador, e não para as versões intermediárias. Para atualizar um analisador, faça o seguinte:

1. No Menu do aplicativo, selecione Configurações > Analisadores.

2. Clique em Menu para o analisador necessário.

3. Selecione Atualizar para a versão mais recente.

   A página Comparar analisadores é exibida. É possível ver:

   • A diferença de código entre a versão atual e a nova do analisador.

   • A guia Registro de alterações, que resume as mudanças.

   • A saída do UDM para o registro bruto de amostra. Para testar a saída em um registro diferente, clique em Editar para editar o registro bruto de amostra.

   • A data e a hora em que o código do analisador foi atualizado pela última vez.

4. Clique em Atualizar analisador para atualizar para a versão mais recente.

Reverter uma versão do analisador

É possível reverter um analisador para a versão usada por último, independentemente do status de atualização automática. Para reverter uma versão do analisador, faça o seguinte:

1. No Menu do aplicativo, selecione Configurações > Analisadores.

2. Clique em Menu para o analisador necessário.

3. Selecione Reverter para a última versão usada.

   A página Comparar analisadores é exibida. É possível ver:

   • A diferença de código entre a versão atual e a última versão usada do analisador.

   • A guia Registro de alterações, que mostra as mudanças.

   • A saída do UDM para o registro bruto de amostra. Para testar a saída em um registro diferente, clique em Editar para editar o registro bruto de amostra.

   • A data e a hora em que o código do analisador foi atualizado pela última vez.

4. Clique em Continuar para reverter para voltar à última versão usada.

O analisador é revertido para a última versão usada. Por exemplo, se você fez upgrade da versão 17.0 para a 24.0, a reversão vai retornar para a 17.0, não para a 23.0.

Só é possível realizar uma reversão consecutiva. Depois de realizar uma reversão, a opção Reverter não fica mais disponível.

Observação: as atualizações do analisador levam cerca de 30 minutos. Durante esse período, podem ocorrer inconsistências temporárias na análise de eventos.

Política de suporte para versões anteriores do analisador

Somente a versão estável mais recente de um analisador pré-criado recebe correções de bugs e melhorias. Se você desativar as atualizações automáticas e permanecer em uma versão anterior do analisador, ela não vai receber patches ou atualizações. Se você relatar problemas com essa versão anterior, a próxima versão estável vai incluir a correção. É necessário fazer upgrade manual do analisador para a versão estável mais recente para receber a correção.

Criar uma extensão

As extensões de analisador oferecem uma maneira flexível de ampliar os recursos dos analisadores pré-criados (padrão). Eles não substituem os analisadores pré-criados. Em vez disso, eles permitem a extração de campos adicionais do registro bruto original para o registro do UDM. Uma extensão de analisador é diferente de um analisador personalizado.

Para criar uma extensão de analisador, consulte Como usar extensões de analisador.

Controlar o acesso ao gerenciamento de analisadores

Por padrão, os usuários com as funções de Administrador e Editor podem gerenciar as atualizações do analisador. Novas permissões podem ser concedidas para controlar quem pode ver e gerenciar essas atualizações.

Para mais informações sobre como gerenciar usuários e grupos ou atribuir papéis, consulte o guia do usuário de controle de acesso baseado em papéis.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.