Implementa analizadores de la comunidad en GitHub

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

Google Security Operations utiliza un repositorio de código abierto en GitHub para permitir la colaboración de la comunidad, los socios y los clientes en el desarrollo y el mantenimiento de los analizadores. Este repositorio permite que las contribuciones de la comunidad expandan y mantengan el conjunto de analizadores disponibles para Google SecOps.

Objetivos

• Habilita las contribuciones de la comunidad: Permite que los usuarios, socios y clientes externos contribuyan con analizadores de la comunidad nuevos y actualizados.
• Facilitar la adopción: Proporcionar a los usuarios un mecanismo para adoptar analizadores de la comunidad en sus instancias de analizadores personalizados
• Garantizar la calidad: Mantener un marco de trabajo riguroso de revisión y pruebas para validar la seguridad y la calidad funcional de todas las contribuciones antes de su lanzamiento

Antes de comenzar

• Asegúrate de tener el permiso chronicle.parsers.create, que forma parte del rol de IAM chronicle.admin.
• Para contribuir a los analizadores de la comunidad, firma un Contrato de licencia para colaboradores (CLA). Para obtener todos los detalles, consulta Firma nuestro Contrato de Licencia para Colaboradores.

Estructura del repositorio

Todos los analizadores se organizan en el directorio parsers/ de nivel superior en el área Content Hub del repositorio de GitHub. Cada fuente de registro tiene su propio subdirectorio dedicado.

content-hub/
└── content/
    └── parsers/
        ├── third_party/
        │   ├── community/
        │   │   ├── VENDOR1_PRODUCT1/cbn/
        │   │   └── VENDOR2_PRODUCT2/cbn/
        │   ├── partnerA/
        │   │   └── VENDOR1_PRODUCT1/cbn/
        │   └── partnerB/
        │        └── VENDOR1_PRODUCT1/cbn/
        ...

Convenciones de nomenclatura de carpetas

Las convenciones de nombres de carpetas para todos los subdirectorios dentro del repositorio third_party/community/parser se definen de forma estricta. Estos estándares garantizan la compatibilidad del sistema, la visibilidad para los clientes y la alineación con las convenciones internas de Google SecOps.

Crea un analizador de la comunidad en GitHub

En la siguiente sección, se detalla cómo crear y administrar analizadores de la comunidad.

Busca y descarga analizadores de la comunidad

1. Navega a la carpeta del tipo de registro que necesitas.
2. Revisa el archivo metadata.json para verificar si hay referencias relacionadas con las fuentes de registro que admite el analizador.
3. Descarga el archivo parser.conf, que contiene la lógica principal del analizador en la sintaxis de CBN.

Implementar analizadores de la comunidad en Google SecOps

En el siguiente paso, se explica cómo copiar y convertir un analizador de la comunidad en tu propia instancia de analizador personalizado. Una vez implementado, el analizador funciona como un analizador personalizado que tú mantienes.

• En tu instancia de Google SecOps, sube o pega el contenido del archivo parser.conf descargado en los campos correspondientes de la página Crear analizador en Configuración > Administración de datos > Analizadores. Si estás en una plataforma solo de SIEM, ve a Configuración > Analizadores.

Valida el analizador personalizado

Después de implementar el analizador en tu instancia de Google SecOps, se activan automáticamente las validaciones integradas del analizador personalizado para verificar si hay posibles fallas en la canalización o problemas de normalización. Si estas validaciones fallan, debes corregir la lógica del analizador o modificar tu copia del analizador para que se alinee con tu caso de uso específico. Te recomendamos que contribuyas con correcciones o mejoras al repositorio de la comunidad y que participes activamente en la comunidad de código abierto.

Para obtener información detallada sobre cómo contribuir con analizadores nuevos o actualizar los existentes en GitHub, consulta las instrucciones del analizador de GitHub.

Si tienes algún problema con la integración, abre un caso en GitHub. La Atención al Cliente de Google no cubre los analizadores de la comunidad.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.