Implémenter des analyseurs syntaxiques de la communauté dans GitHub

Compatible avec :

Google Security Operations utilise un dépôt Open Source sur GitHub pour permettre la collaboration entre la communauté, les partenaires et les clients pour le développement et la maintenance des analyseurs syntaxiques. Ce dépôt permet aux contributions de la communauté d'étendre et de gérer l'ensemble des analyseurs disponibles pour Google SecOps.

Objectifs

  • Activer les contributions de la communauté : permettez aux utilisateurs, partenaires et clients externes de contribuer à l'ajout et à la mise à jour des analyseurs de la communauté.
  • Faciliter l'adoption : fournissez aux utilisateurs un mécanisme permettant d'adopter des analyseurs de la communauté dans leurs instances d'analyseurs personnalisés.
  • Garantir la qualité : maintenir un cadre rigoureux de validation et de test pour valider la sécurité et la qualité fonctionnelle de toutes les contributions avant leur publication.

Avant de commencer

  • Assurez-vous de disposer de l'autorisation chronicle.parsers.create, qui fait partie du rôle IAM chronicle.admin.
  • Pour contribuer aux analyseurs syntaxiques de la communauté, signez un contrat de licence du contributeur (CLC). Pour en savoir plus, consultez Signer notre contrat de licence de contributeur.

Structure du dépôt

Tous les analyseurs sont organisés dans le répertoire de premier niveau parsers/ de la zone Content Hub du dépôt GitHub. Chaque source de journaux possède son propre sous-répertoire dédié.

content-hub/
└── content/
    └── parsers/
        ├── third_party/
        │   ├── community/
        │   │   ├── VENDOR1_PRODUCT1/cbn/
        │   │   └── VENDOR2_PRODUCT2/cbn/
        │   ├── partnerA/
        │   │   └── VENDOR1_PRODUCT1/cbn/
        │   └── partnerB/
        │        └── VENDOR1_PRODUCT1/cbn/
        ...

Conventions d'attribution de noms aux dossiers

Les conventions d'attribution de noms aux dossiers pour tous les sous-répertoires du dépôt third_party/community/parser sont strictement définies. Ces normes garantissent la compatibilité du système, la visibilité pour les clients et l'alignement avec les conventions internes de Google SecOps.

Créer un analyseur de la communauté dans GitHub

La section suivante explique comment créer et gérer des analyseurs de la communauté.

Rechercher et télécharger des analyseurs syntaxiques de la communauté

  1. Accédez au dossier du type de journal requis.
  2. Examinez le fichier metadata.json pour vérifier les références liées aux sources de journaux compatibles avec l'analyseur.
  3. Téléchargez le fichier parser.conf, qui contient la logique de l'analyseur de base dans la syntaxe CBN.

Déployer des analyseurs de la communauté dans Google SecOps

L'étape suivante explique comment copier et convertir un analyseur de la communauté en votre propre instance d'analyseur personnalisé. Une fois déployé, l'analyseur fonctionne comme un analyseur personnalisé que vous gérez.

  • Dans votre instance Google SecOps, importez ou collez le contenu du fichier parser.conf téléchargé dans les champs correspondants de la page Créer un analyseur sous Paramètres > Gestion des données > Analyseurs. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Analyseurs.

Valider l'analyseur personnalisé

Une fois que vous avez déployé l'analyseur dans votre instance Google SecOps, les validations intégrées de l'analyseur personnalisé sont automatiquement déclenchées pour vérifier les éventuels échecs de pipeline ou problèmes de normalisation. Si ces validations échouent, vous devez corriger la logique de l'analyseur ou modifier votre copie de l'analyseur pour l'adapter à votre cas d'utilisation spécifique. Nous vous encourageons à apporter des corrections ou des améliorations au dépôt de la communauté et à devenir un participant actif de la communauté Open Source.

Pour en savoir plus sur l'ajout d'analyseurs ou la mise à jour d'analyseurs existants dans GitHub, consultez les instructions concernant les analyseurs GitHub.

Si vous rencontrez des problèmes avec l'intégration, ouvrez une demande dans GitHub. Les analyseurs de la communauté ne sont pas couverts par l'assistance Google.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.