ניהול אפשרויות של כלי ניתוח בשירות עצמי
מודל הנתונים המאוחד (UDM) של פלטפורמת Google Security Operations מספק תמיכה מקיפה בזיהוי איומים ובנרמול נתונים. צוות Google SecOps מפתח ומעדכן באופן פעיל מנתחי נתונים מוכנים מראש עבור מוצרים מסחריים רבים. עם זאת, בקשות מותאמות אישית כפופות להסכם רמת שירות מחמיר: צוות ההנדסה של Google מעבד בקשות לניתוח נתונים חדש או למיפוי שדות נוסף בניתוח נתונים קיים על בסיס המאמץ הטוב ביותר. כדי לקבל פרטים מלאים, חשוב לעיין ברמות התמיכה ב-Parser.
כדי להשיג את התוצאות הכי טובות – כולל שליטה מיידית בהעברת יומנים, זמן קצר יותר להפקת ערך ופריסה מיידית של עדכונים – אתם צריכים להשתמש באפשרויות הבאות בשירות עצמי.
אפשרויות מומלצות לשירות עצמי
| תרחיש שימוש | יכולת מומלצת | יתרונות |
|---|---|---|
| מקור יומן חדש (ספציפי לדייר) | סוגי יומנים בהתאמה אישית | הצטרפות מהירה של זרמי נתונים ייחודיים או בהתאמה אישית גבוהה, בלי שיידרש אישור של Google. |
| חילוץ שדות נוספים (JSON/XML) | חילוץ אוטומטי | זיהוי אוטומטי של שדות חדשים ביומנים מובנים (JSON, XML) וחילוץ שלהם עם הגדרה מינימלית. |
| מיפוי UDM מותאם אישית או פורמט שאינו JSON/XML | תוספים למנתח | כך תוכלו להשיג שליטה מדויקת וגרנולרית על לוגיקת החילוץ, ולוודא שמיפוי השדות הספציפיים ל-UDM מתבצע בצורה נכונה כדי למקסם את היעילות של החיפוש והזיהוי. |
| יצירת מנתח חדש לגמרי | אפשרות א': חילוץ אוטומטי או אפשרות ב': מנתח מותאם אישית מלא | תשובה: הדרך הכי פשוטה ומהירה לרישום יומנים מובנים. B: מאפשרת לכם בעלות מלאה ויכולת עדכון מיידית של יומנים מורכבים. |
תרחישים מפורטים לדוגמה לשימוש בשירות עצמי
בקטע הזה מפורטים תרחישים והנחיות מעשיות שיעזרו לכם לבחור את הכלי הכי יעיל בשירות עצמי לצרכים הספציפיים שלכם בנוגע לניתוח או להטמעת נתונים.
סוגי יומנים מותאמים אישית למקורות ששייכים לדייר בלבד
אם אתם צריכים להטמיע סוג חדש של יומן – גם אם מדובר במוצר מסחרי מוכר – אבל פורמט היומן ספציפי ומיועד לשימוש רק בדייר שלכם, אתם צריכים להשתמש ביכולת השירות העצמי של סוגי יומנים בהתאמה אישית.
הגישה הזו מאפשרת לכם לרשום במהירות את פורמט היומן הייחודי בסביבה שלכם, בלי שתצטרכו להשתמש במנתח גלובלי שידרוש בדיקה ופריסה נרחבות על ידי Google.
מידע נוסף על יצירת סוג יומן מותאם אישית זמין במאמר בנושא סוגי יומנים מותאמים אישית.
שיפור מנתחי נתונים קיימים באמצעות חילוץ אוטומטי (JSON/XML)
אם אתם משתמשים במנתח קיים ליומנים בפורמט JSON או XML ואתם רוצים לחלץ שדות נוספים שלא מנותחים כרגע, אתם צריכים להשתמש בחילוץ אוטומטי.
התכונה 'חילוץ אוטומטי' סורקת באופן דינמי את היומנים המובנים כדי לזהות שדות לא ממופים, וכך מאפשרת לכם להעשיר באופן מיידי את הרשומות ב-UDM בלי לבצע שינויים בקוד של מנתח הבסיס.
מידע נוסף על יכולות החילוץ האוטומטי זמין במאמר בנושא סקירה כללית על חילוץ אוטומטי.
שיפור ההתאמה של החילוץ ומיפוי UDM באמצעות תוספים של מנתח
אם היומנים שלכם הם בפורמט שונה מ-JSON או XML, או אם אתם צריכים שליטה מדויקת באופן שבו שדות שחולצו ממופים לשדות ספציפיים ב-UDM, אתם צריכים להשתמש בתוספים של כלי הניתוח.
תוספי ניתוח מספקים מנגנון רב עוצמה לשינוי, להרחבה או לביטול של הלוגיקה של מנתחי נתונים קיימים. הם הבחירה האידיאלית אם אתם צריכים:
- מיפוי שדות שלא מזוהים באופן אוטומטי.
- החלת לוגיקה מותאמת אישית כדי לשנות את הפורמט של ערכי השדות.
- חשוב לוודא שהנתונים עוברים נורמליזציה מדויקת לפי תקן UDM.
מידע נוסף על הטמעה של תוספי ניתוח זמין במאמרים תוספי ניתוח ודוגמאות לתוספי ניתוח.
יצירת מנתח חדש למקור יומן חדש
כשמוסיפים מקור יומנים חדש לגמרי, אפשר להשתמש באחת מהאפשרויות הבאות לשירות עצמי, לפי סדר מורכבות:
אפשרות 1: חילוץ אוטומטי (פשוט):
החילוץ האוטומטי הוא הדרך המומלצת והפשוטה ביותר לרישום ביומן של נתונים מובְנים (JSON/XML). אם מקור היומן החדש הוא בפורמט מובנה, החילוץ האוטומטי מוודא שכל השדות מנותחים באופן מיידי ומוכנים להוספה ל-UDM, בלי שתצטרכו להשקיע מאמץ רב בהגדרות.
מידע נוסף על השימוש ביכולת הזו זמין במאמר סקירה כללית על חילוץ אוטומטי.
אפשרות 2: מנתח מותאם אישית מלא (מתקדם):
האפשרות הזו מתאימה במיוחד לפורמטים מורכבים או ייחודיים של יומני רישום. אם הקבצים מורכבים, לא מובנים או דורשים דפוסי ביטוי רגולרי ספציפיים לחילוץ, אפשר ליצור מנתח מותאם אישית מלא בעצמכם. כך תקבלו בעלות מלאה על לוגיקת הניתוח, ותוכלו לבצע עדכונים ואיטרציות באופן מיידי.
מידע נוסף על ניהול מנתחים מותאמים אישית מלאים זמין במאמר בנושא מנתחים מותאמים אישית.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.