Implementar analisadores da comunidade no GitHub

Compatível com:

O Google Security Operations usa um repositório de código aberto no GitHub para permitir a colaboração de comunidades, parceiros e clientes no desenvolvimento e na manutenção de analisadores. Esse repositório permite que as contribuições da comunidade expandam e mantenham o conjunto disponível de analisadores para o Google SecOps.

Metas

  • Ativar contribuições da comunidade: permita que usuários externos, parceiros e clientes contribuam com analisadores novos e atualizados da comunidade.
  • Facilitar a adoção: fornecer aos usuários um mecanismo para adotar analisadores da comunidade nas instâncias de analisadores personalizados.
  • Garantir a qualidade: manter uma estrutura rigorosa de verificação e teste para validar a segurança e a qualidade funcional de todas as contribuições antes do lançamento.

Antes de começar

  • Verifique se você tem a permissão chronicle.parsers.create, que faz parte do papel do IAM chronicle.admin.
  • Para contribuir com os analisadores da comunidade, assine um Contrato de Licença de Colaborador (CLA, na sigla em inglês). Para mais detalhes, consulte Assinar nosso Contrato de Licença de Colaborador.

Estrutura do repositório

Todos os analisadores são organizados no diretório parsers/ de nível superior na área do Content Hub do repositório do GitHub. Cada fonte de registro tem o próprio subdiretório dedicado.

content-hub/
└── content/
    └── parsers/
        ├── third_party/
        │   ├── community/
        │   │   ├── VENDOR1_PRODUCT1/cbn/
        │   │   └── VENDOR2_PRODUCT2/cbn/
        │   ├── partnerA/
        │   │   └── VENDOR1_PRODUCT1/cbn/
        │   └── partnerB/
        │        └── VENDOR1_PRODUCT1/cbn/
        ...

Convenções de nomenclatura de pastas

As convenções de nomenclatura de pastas para todos os subdiretórios no repositório third_party/community/parser são estritamente definidas. Esses padrões garantem a compatibilidade do sistema, a facilidade de descoberta para os clientes e o alinhamento com as convenções internas do Google SecOps.

Criar um analisador da comunidade no GitHub

A seção a seguir detalha como criar e gerenciar analisadores da comunidade.

Localizar e fazer o download de analisadores da comunidade

  1. Navegue até a pasta do tipo de registro necessária.
  2. Revise o arquivo metadata.json para verificar se há referências relacionadas às fontes de registro compatíveis com o analisador.
  3. Faça o download do arquivo parser.conf, que contém a lógica principal do analisador na sintaxe da CBN.

Implantar analisadores da comunidade no Google SecOps

A etapa a seguir explica como copiar e converter um analisador da comunidade na sua própria instância de analisador personalizado. Depois de implantado, o analisador opera como um analisador personalizado que você mantém.

  • Na instância do Google SecOps, faça upload ou cole o conteúdo do arquivo parser.conf baixado nos campos correspondentes da página Criar analisador em Configurações > Gerenciamento de dados > Analisadores. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Analisadores.

Validar o analisador personalizado

Depois de implantar o analisador na instância do Google SecOps, as validações integradas do analisador personalizado são acionadas automaticamente para verificar possíveis falhas de pipeline ou problemas de normalização. Se essas validações falharem, corrija a lógica do analisador ou modifique sua cópia do analisador para se alinhar ao seu caso de uso específico. Incentivamos você a contribuir com correções ou melhorias no repositório da comunidade e se tornar um participante ativo da comunidade de código aberto.

Para informações detalhadas sobre como contribuir com novos analisadores ou atualizar os atuais no GitHub, consulte as instruções do analisador do GitHub.

Se você tiver problemas com a integração, abra um caso no GitHub. Os analisadores da comunidade não são cobertos pelo Suporte do Google.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.