Community-Parser in GitHub implementieren

Unterstützt in:

Google Security Operations nutzt ein Open-Source-Repository auf GitHub, um die Zusammenarbeit von Community, Partnern und Kunden bei der Entwicklung und Wartung von Parsern zu ermöglichen. In diesem Repository können Community-Beiträge die verfügbaren Parser für Google SecOps erweitern und pflegen.

Zielvorhaben

  • Community-Beiträge aktivieren: Erlauben Sie externen Nutzern, Partnern und Kunden, neue und aktualisierte Community-Parser beizutragen.
  • Einführung erleichtern: Nutzern einen Mechanismus zur Übernahme von Community-Parsern in ihre benutzerdefinierten Parserinstanzen bieten.
  • Qualität sicherstellen: Behalten Sie ein strenges Prüf- und Testverfahren bei, um die Sicherheit und funktionale Qualität aller Beiträge vor der Veröffentlichung zu validieren.

Hinweis

  • Sie benötigen die Berechtigung chronicle.parsers.create, die Teil der IAM-Rolle chronicle.admin ist.
  • Wenn Sie zu Community-Parsern beitragen möchten, müssen Sie eine Contributor License Agreement (CLA) unterzeichnen. Ausführliche Informationen finden Sie unter Sign our Contributor License Agreement.

Repository-Struktur

Alle Parser sind im Verzeichnis parsers/ auf oberster Ebene im Content Hub-Bereich des GitHub-Repositorys organisiert. Jede Logquelle hat ein eigenes Unterverzeichnis.

content-hub/
└── content/
    └── parsers/
        ├── third_party/
        │   ├── community/
        │   │   ├── VENDOR1_PRODUCT1/cbn/
        │   │   └── VENDOR2_PRODUCT2/cbn/
        │   ├── partnerA/
        │   │   └── VENDOR1_PRODUCT1/cbn/
        │   └── partnerB/
        │        └── VENDOR1_PRODUCT1/cbn/
        ...

Namenskonventionen für Ordner

Die Namenskonventionen für alle Unterverzeichnisse im Repository third_party/community/parser sind streng definiert. Diese Standards gewährleisten die Systemkompatibilität, die Auffindbarkeit für Kunden und die Einhaltung interner Google SecOps-Konventionen.

Community-Parser in GitHub erstellen

Im folgenden Abschnitt wird beschrieben, wie Sie Community-Parser erstellen und verwalten.

Community-Parser suchen und herunterladen

  1. Rufen Sie den gewünschten Logtypordner auf.
  2. Prüfen Sie die Datei metadata.json auf Verweise auf die vom Parser unterstützten Logquellen.
  3. Laden Sie die Datei parser.conf herunter, die die Kernlogik des Parsers in CBN-Syntax enthält.

Community-Parser in Google SecOps bereitstellen

Im folgenden Schritt wird erläutert, wie Sie einen Community-Parser kopieren und in Ihre eigene benutzerdefinierte Parserinstanz konvertieren. Nach der Bereitstellung wird der Parser als benutzerdefinierter Parser ausgeführt, den Sie verwalten.

  • Laden Sie in Ihrer Google SecOps-Instanz den Inhalt der heruntergeladenen parser.conf-Datei hoch oder fügen Sie ihn in die entsprechenden Felder auf der Seite Parser erstellen unter Einstellungen > Datenverwaltung > Parser ein. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Parser auf.

Benutzerdefinierten Parser validieren

Nachdem Sie den Parser in Ihrer Google SecOps-Instanz bereitgestellt haben, werden automatisch integrierte benutzerdefinierte Parser-Validierungen ausgelöst, um nach potenziellen Pipeline-Fehlern oder Normalisierungsproblemen zu suchen. Wenn diese Validierungen fehlschlagen, müssen Sie die Parserlogik korrigieren oder Ihre Kopie des Parsers an Ihren spezifischen Anwendungsfall anpassen. Wir empfehlen Ihnen, Korrekturen oder Verbesserungen im Community-Repository einzureichen und sich aktiv an der Open-Source-Community zu beteiligen.

Ausführliche Informationen zum Hinzufügen neuer Parser oder zum Aktualisieren vorhandener Parser in GitHub finden Sie in der Anleitung für GitHub-Parser.

Wenn bei der Integration Probleme auftreten, öffnen Sie einen Fall in GitHub. Die Community-Parser werden nicht vom Google-Support abgedeckt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten