管理預建剖析器

支援的服務：

Google SecOps SIEM

本文說明如何在 Google Security Operations 管理剖析器。包括如何處理預建剖析器的更新、建立剖析器擴充功能，以及控管剖析器管理權限。

什麼是剖析器？

在 Google Security Operations 中，剖析器是一組指令，可將各種來源的原始記錄資料轉換為統合式資料模型 (UDM) 格式。將原始記錄正規化為 UDM 格式至關重要，因為這樣一來，無論原始記錄格式為何，Google SecOps 都能有效分析、搜尋及關聯所有擷取資料中的安全性事件。如需記錄剖析的概要說明，請參閱「記錄剖析總覽」。

為什麼需要剖析器？

剖析器是 Google SecOps 處理安全性資料的關鍵。如果沒有適當剖析，原始記錄就會維持非結構化狀態，無法有效搜尋、與其他安全性事件建立關聯，或用於偵測規則。正規化程序會充實原始資料，將重要欄位對應至標準化結構定義，進而提升 Google SecOps 的分析能力。

平台會顯示哪些剖析器？

Google SecOps 平台的「Parsers」(剖析器) 頁面只會顯示已擷取資料的記錄類型預建剖析器。如果您尚未擷取特定記錄類型的任何記錄，平台就不會顯示對應的預建剖析器。

舉例來說，UDM (使用 udmevents API 擷取或不含原始記錄) 等記錄類型和特定 Mandiant 記錄 (使用 CreateEntities API 擷取) 已經是結構化格式，因此不需要或沒有相關聯的剖析器。因此不會列在「Parsers」(剖析器) 頁面。

如要在平台中查看預建剖析器，請確認您已成功擷取特定記錄類型的資料。

本文涵蓋剖析器管理作業的下列重要面向：

• 管理預先建構的剖析器更新
• 管理預建剖析器版本
• 建立擴充功能
• 控管剖析器管理權限

注意： UDM 欄位對應僅支援 UTF-8 字元。使用其他編碼可能會導致剖析失敗，且無法搜尋記錄。

剖析器類型

瞭解剖析器類型和功能：

剖析器類型	說明
預建項目	Google SecOps 建立的剖析器，內建對應功能，可將原始記錄資料轉換為 UDM 欄位。
預先建構的擴充	客戶建立的預建剖析器，內含額外對應指示，可從原始記錄擷取其他資料，並插入 UDM 記錄。
自訂	這類剖析器並非預建，而是具有自訂資料對應指示，可將原始記錄資料轉換為 UDM 欄位。詳情請參閱「設定自訂剖析器」。
已擴充的自訂項目	自訂剖析器，包含額外的對應指示，可使用剖析器擴充功能從原始記錄中擷取額外資料，並插入 UDM 記錄。

管理預建剖析器更新

Google SecOps 通常會在每個月的第四週更新預建剖析器。這些更新會先提供給客戶搶先體驗及測試。即將推出的剖析器更新會標示為「待啟用」。您可以查看新舊剖析器版本之間的差異、提早啟用剖析器更新來進行測試，或是略過更新並建立自訂剖析器。

重要事項： 這項功能需要啟用剖析器自動更新。如要啟用這項設定，請參閱「選擇加入及退出剖析器自動更新功能」。

如要查看待處理的更新，請按照下列步驟操作：

1. 登入 Google SecOps 執行個體。

2. 依序選取「Settings」 >「SIEM Settings」 >「Parsers」。

3. 按一下「篩選器」圖示 。

4. 從清單中選取「預先建構」、「有效」和「預先建構擴充」。

   系統會顯示預設啟用的預建剖析器清單。即將推出的剖析器更新會在「Update」(更新) 欄中標示為「Pending」(待啟用)。

5. 按一下「 選單」，然後從清單中選取「查看待處理的更新」。

   「Compare parsers」(比較剖析器) 頁面隨即顯示。您可以在這裡查看下列資訊：

   • 目前和即將推出的剖析器版本之間的程式碼差異

   • 分析即將推出的剖析器版本對偵測規則的影響

   • 「變更記錄」分頁中的變更記錄

   • 為取樣原始記錄產生的 UDM 事件

     注意： 系統會隨機顯示範例，不一定會列出所有變更的欄位。如要變更記錄範例，請按一下「 編輯」並輸入自己的範例。然後按一下「重新整理」圖示 進行更新。

   • 剖析器的建立日期和時間

   • 剖析器程式碼上次更新的日期和時間

   您可以提早啟用剖析器更新、略過更新並建立自訂剖析器，或等待系統在當月第四週自動套用更新。

提早啟用剖析器更新

剖析器管理功能可讓您提早啟用剖析器更新。例如，如果您想測試它。

如要提早啟用剖析器更新，請按照下列步驟操作：

1. 在「Compare parsers」(比較剖析器) 頁面，按一下「Make parser update active」(啟用剖析器更新)。

   「Confirm parser update」(確認剖析器更新) 對話方塊隨即顯示。

2. 按一下「確認」。

   20 分鐘後，剖析器就會啟用，開始正規化程序。

   注意： 這個剖析器版本會持續有效，直到下一個發布週期。

略過預建剖析器更新

如要略過目前和日後的預建剖析器更新，請按照下列步驟建立自訂剖析器：

1. 在「Compare parsers」(比較剖析器) 頁面，按一下「Skip update」(略過更新)。

   「略過更新並建立自訂剖析器」視窗隨即顯示。

2. 按一下「Create custom parser」(建立自訂剖析器)。

3. 在「Type of parser to start with」(要開始使用的剖析器類型) 部分，選取目前的「Prebuilt Parser」(預建剖析器) 或「Pending Parser Update」(待處理的剖析器更新)。

4. 點選「建立」。

   注意： 如果這個記錄來源已有自訂剖析器，就無法再建立其他剖析器。系統會顯示下列訊息：「這個記錄來源已有自訂剖析器」。

   20 分鐘後，所選版本就會啟用，並用於正規化程序。在「Parsers」(剖析器) 頁面的剖析器清單中，會顯示為「Custom」(自訂) 和「Active」(啟用中)。較早的預先建構版本會顯示為「Prebuilt」(預先建構) 和「Inactive」(停用)。

   注意： 日後所有預建剖析器更新仍會顯示，但除非您停用自訂剖析器並還原為預建版本，否則不會套用。

還原預先更新的預建剖析器

如果您提早啟用剖析器更新，仍可在當月第四週前還原至先前的版本，屆時更新會自動啟用。

如要切換回先前的剖析器版本，請按照下列步驟操作：

1. 在「Application menu」(應用程式選單) 中，依序選取「Settings」(設定) >「Parsers」(剖析器)。

2. 按一下要還原的剖析器旁邊的「 選單」。

3. 點選「查看」。

   系統隨即會顯示「View prebuilt parser」(查看預先建構的剖析器) 頁面。

4. 按一下「還原至上一個版本」。

   「還原為先前版本」對話方塊隨即顯示。您可以點選對話方塊中的「Compare Parsers」(比較剖析器)，查看目前版本和先前版本的差異。

5. 按一下「確認」，將剖析器還原至先前的版本。

   20 分鐘後，剖析器會還原為先前的版本。

分析即將推出的剖析器版本影響

注意： 這項功能適用 Google Security Operations 服務專屬條款的《正式發布前產品條款》。正式發布前的功能只提供部分支援，對正式發布前的功能所做的變更可能與其他正式發布前的版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。
如果您的環境中未顯示這項功能，請參閱「管理預先發布版功能」或與系統管理員聯絡。

注意：這項功能目前為不公開預先發布版，僅開放部分地區的客戶使用。您無法在 Google SecOps 平台的「公開預先發布版管理工具」頁面，管理不公開預先發布版功能。

影響檢查可讓您在套用變更前，評估即將推出的剖析器版本對偵測規則的潛在影響。如果規則受到負面影響，您可以點選連結進行調查，並據此更新規則。

如果是單一事件規則，分析會檢查偵測規則在過去 30 天內產生的偵測結果。並針對與這些偵測結果對應的事件，執行目前和即將推出的剖析器版本。這項程序會重新產生偵測結果，檢查是否有不相符的情況。

如果是多事件規則，分析會使用事件樣本 (而非所有事件) 執行啟發式分析。如果事件不相符，這項分析會將結果標示為「可能失敗」。

如要分析即將推出的剖析器版本對偵測規則的影響，請按照下列步驟操作：

1. 在 Google SecOps 控制台中，依序前往「設定」 >「SIEM 設定」 >「剖析器」。
2. 選取特定記錄類型 (預先建構的剖析器)。
3. 選取其中一個剖析器更新選項：「更新至最新版本」、「復原至上次使用的版本」或「選擇加入候選版本」。
4. 前往剖析器的「影響」分頁，然後按一下「檢查對規則的影響」。影響檢查可能需要一段時間才能完成。

5. 完成後，系統會顯示下列內容：

   • 剖析器中繼資料和新版本影響的規則清單，詳細說明規則類型和顯示差異的 UDM 欄位。

   • 系統會將受到負面影響的規則分類如下：

     • 失敗：新的剖析器未產生偵測結果，但目前的剖析器有。
     • 可能失敗：規則邏輯中的 UDM 欄位已變更的規則 (包括多事件規則)。您必須進一步調查這些規則。

   請點選各項規則的連結，前往規則編輯器調查及編輯規則，使其能與新版剖析器搭配運作。

管理預建剖析器版本

Google SecOps 提供並維護預建剖析器，確保記錄剖析正確。您可以控管新剖析器版本在環境中的套用方式，以符合組織需求。

本節說明 Google SecOps 的完整剖析器版本管理生命週期。包括選擇加入和退出自動更新、比較版本之間的邏輯、手動更新至新版本，以及復原至先前版本。

注意： 您可以預覽 Google 預建剖析器，測試新版本。不過，如果自訂剖析器正在執行，您就無法使用預覽工具測試更新後的預建剖析器。您必須停用自訂剖析器，並改回使用預建剖析器。

選擇加入及退出剖析器自動更新功能

如果關閉自動更新功能，剖析器會維持在目前版本，直到您開啟自動更新或手動更新為止。如要關閉自動更新功能，請按照下列步驟操作：

1. 在 「Application menu」(應用程式選單) 中，依序選取「Settings」(設定) >「Parsers」(剖析器)。

2. 按一下所需預建剖析器的「Menu」。

3. 按一下「關閉自動更新」。

啟用自動更新功能後，剖析器會在每次推出新的穩定版本時更新。如要開啟自動更新功能，請按照下列步驟操作：

1. 在 「Application menu」(應用程式選單) 中，依序選取「Settings」(設定) >「Parsers」(剖析器)。

2. 按一下所需預建剖析器的「Menu」(選單)。

3. 按一下「啟用自動更新」。

重要事項： 如要選擇加入預先發布版剖析器，必須啟用自動更新功能，且剖析器必須是最新版本。停用更新會移除預先發布版選項，並還原該記錄類型上次使用的穩定版。

手動更新剖析器版本

如果關閉自動更新功能，您可以選擇何時將剖析器更新至新版本。這樣一來，您就能在套用變更前先查看變更。

注意： 您只能升級至最新剖析器版本，無法升級至中間版本。如要更新剖析器，請按照下列步驟操作：

1. 在 「Application menu」(應用程式選單) 中，依序選取「Settings」(設定) >「Parsers」(剖析器)。

2. 按一下所需剖析器的「Menu」。

3. 選取「更新至最新版本」。

   「Compare parsers」(比較剖析器) 頁面隨即顯示。您可以查看下列資訊：

   • 目前和新版剖析器的程式碼差異。

   • 「變更記錄」分頁：提供變更摘要。

   • 取樣原始記錄的 UDM 輸出內容。如要根據其他記錄測試輸出內容，請按一下「Edit」(編輯) ，編輯取樣的原始記錄。

   • 剖析器程式碼上次更新的日期和時間。

4. 按一下「更新剖析器」，即可更新至最新版本。

復原剖析器版本

無論自動更新狀態為何，您都可以將剖析器還原至上次使用的版本。如要復原剖析器版本，請按照下列步驟操作：

1. 在 「Application menu」(應用程式選單) 中，依序選取「Settings」(設定) >「Parsers」(剖析器)。

2. 按一下所需剖析器的「Menu」。

3. 選取「復原至上次使用的版本」。

   「Compare parsers」(比較剖析器) 頁面隨即顯示。您可以查看下列資訊：

   • 目前和上次使用的剖析器版本之間的程式碼差異。

   • 「變更記錄」分頁，顯示變更內容。

   • 取樣原始記錄的 UDM 輸出內容。如要根據其他記錄測試輸出內容，請按一下「Edit」(編輯) ，編輯取樣的原始記錄。

   • 剖析器程式碼上次更新的日期和時間。

4. 按一下「繼續復原」，還原為上次使用的版本。

剖析器會復原至上次使用的版本。舉例來說，如果您從 17.0 版升級至 24.0 版，復原後會回到 17.0 版，而非 23.0 版。

您只能執行一次連續復原。執行復原作業後，系統就不會再顯示「Roll back」(復原) 選項。

注意： 剖析器更新作業約需 30 分鐘。在這段期間，事件剖析功能可能會有暫時不一致的情況。

舊版剖析器的支援政策

只有最新穩定版的預建剖析器會收到錯誤修正和強化功能。如果停用自動更新，並繼續使用舊版剖析器，該版本就不會收到修補程式或更新。如果您回報這個早期版本的問題，下一個穩定版本就會包含修正程式。您必須手動將剖析器升級至最新穩定版本，才能套用修正。

建立擴充功能

剖析器擴充功能可讓您靈活擴充現有預建 (預設) 剖析器的功能。不會取代預建剖析器。而是能順暢地從原始記錄中擷取其他欄位，並加入 UDM 記錄。剖析器擴充功能與自訂剖析器不同。

如要建立剖析器擴充功能，請參閱「使用剖析器擴充功能」。

控管剖析器管理權限

根據預設，具備管理員和編輯者角色的使用者可以管理剖析器更新。您可以授予新權限，控管哪些人可以查看及管理這些更新。

如要進一步瞭解如何管理使用者和群組，或指派角色，請參閱角色式存取控管使用手冊。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。