Security Center:Aturan dan set data terstandarisasi

Sumber Aturan

Aturan terstandarisasi menggunakan sintaks SPL untuk memetakan log mentah yang masuk ke struktur log terstandarisasi dan mendefinisikan pemetaan field kunci. Hal ini menyediakan fondasi data untuk menghasilkan peringatan dari log yang telah dinormalisasi.

Buat aturan terstandarisasi kustom

1. Akses Konsol Security Center - Agentic SOC - Management - Access Settings. Di pojok kiri atas halaman, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

2. Konfigurasikan parameter berikut untuk pengaturan dasar.

   Parameter	Description
   Rule Name	Nama kustom untuk aturan tersebut.
   Service Provider	Vendor predefined: Alibaba Cloud, Fortinet, Chaitin, Microsoft, Sangfor, Tencent Cloud, Huawei Cloud, Hillstone Networks, DbappSecurity, Microsoft Cloud, dan lainnya. Vendor kustom: Untuk informasi tentang cara membuat vendor, lihat Integrasi produk.
   Service	Secara otomatis mencantumkan semua produk di bawah vendor yang dipilih, seperti Security Center untuk Alibaba Cloud dan Fortinet Firewall. Untuk daftar produk yang didukung, lihat Pengaturan integrasi.
   Remarks	Tambahkan deskripsi untuk aturan terstandarisasi guna memudahkan pencarian dan meningkatkan keterbacaan.

3. Pada tab Log Standardization Test, konfigurasikan pemetaan field untuk aturan standarisasi.

   1. Pilih sumber sampel log:

      • Based on data source

        • Data source: Secara otomatis menyinkronkan instance sumber data yang sudah ada.

        • Log sample: Secara otomatis mengkueri sampel log dari 7 hari terakhir. Anda juga dapat memilih rentang waktu kustom.

      • Based on manual input: Tempel data log mentah ke editor JSON. Editor ini mendukung format dan validasi.

   2. Buat rencana parsing menggunakan konfigurasi yang direkomendasikan AI atau konfigurasi manual.

      Konfigurasi yang direkomendasikan AI

      Panggil Security AI Assistant dari konsol. Agentic SOC secara otomatis menugaskan agen standarisasi log untuk menganalisis sampel log, merekomendasikan klasifikasi standarisasi, struktur, dan pemetaan field, serta menghasilkan sintaks SPL.

      1. Pada bagian Parse test, klik Security AI Assistant. Panel dialog asisten AI muncul di sebelah kanan.

      2. Dapatkan konfigurasi yang direkomendasikan: Setelah menganalisis sampel log, Security AI Assistant mengembalikan konfigurasi yang direkomendasikan.

         • Klasifikasi dan struktur standarisasi: AI mengidentifikasi tipe log berdasarkan konten log dan merekomendasikan klasifikasi.

           • Klasifikasi standarisasi: Network Log, Host Log, Security Log, Audit Log, Snapshot Log, Logon Log, dan Other Log.

           • Struktur standarisasi:

             • Setiap klasifikasi standarisasi mencakup beberapa struktur standarisasi.

             • Setiap struktur standarisasi sesuai dengan satu set field terstandarisasi dan satu dataset (StoreView). Satu dataset dapat dipetakan ke beberapa struktur standarisasi.

             • Untuk informasi tentang cara melihat dataset dan field terstandarisasi untuk suatu klasifikasi atau struktur, lihat Lihat field dan dataset terstandarisasi.

         • Tabel hasil pemetaan: Menampilkan pemetaan antara setiap field log dan field terstandarisasinya, serta menunjukkan apakah field tersebut wajib atau opsional. Untuk field yang tidak dicocokkan secara otomatis oleh AI, pilih field terstandarisasi dari daftar drop-down.

      3. Hasilkan sintaks SPL: Di bawah konfigurasi yang direkomendasikan, klik Generate SPL. AI menghasilkan sintaks SPL berdasarkan hasil pemetaan, serta menyediakan tabel keputusan pemetaan dan pemeriksaan kepatuhan mandiri.

      4. Isi formulir konfigurasi: Di bawah sintaks SPL yang dihasilkan, klik Apply. Klasifikasi standarisasi, struktur, dan sintaks SPL yang direkomendasikan AI secara otomatis diisi ke dalam formulir pengeditan aturan.

      Konfigurasi manual

      • Klasifikasi dan struktur standarisasi: Untuk klasifikasi dan struktur standarisasi default yang didukung oleh Agentic SOC serta deskripsi field-nya, lihat Lihat field dan dataset terstandarisasi.

      • Sintaks SPL:

        • Gunakan aturan predefined dan aturan kustom yang sudah ada sebagai templat. Lihat sintaks SPL untuk setiap aturan di halaman detailnya.

        • Atau tulis sintaks kustom dengan merujuk ke Dokumentasi sintaks SPL.

   3. Konfigurasikan field ekstensi dan tipe sintaks

      • Ingestion field ekstensi:

        • Pass-through: Field log mentah yang tidak dipetakan ke field terstandarisasi disimpan langsung di dataset sebagai pasangan kunci-nilai. Ini mempertahankan semua data asli tetapi meningkatkan volume log dan biaya traffic.

        • Not Ingested (Default): Field log mentah yang tidak dipetakan oleh aturan terstandarisasi dibuang.

      • Tipe sintaks:

        • General syntax: Saat Anda mengonfigurasi kebijakan ingestion log, Anda dapat memilih Real-time Consumption atau Scan Query. Untuk informasi lebih lanjut, lihat perbandingan metode standarisasi di Log produk.

        • Real-time consumption: Saat Anda mengonfigurasi kebijakan ingestion log, metode standarisasi hanya mendukung Real-time Consumption.

   4. Parse test

      1. Setelah mengonfigurasi klasifikasi standarisasi dan sintaks parsing, klik Parse.

      2. Lihat hasil parsing di bagian Parse Results.

      3. Atur field ekstensi (opsional)

         Jika hasil parsing SPL berisi field yang tidak dipetakan ke field terstandarisasi dan ingestion field ekstensi diatur ke Pass-through, kami menyarankan membuat indeks untuk field tersebut agar memudahkan pencarian cepat setelah ingestion. Untuk informasi lebih lanjut, lihat Kelola aturan terstandarisasi.

4. Setelah pengujian berhasil, klik Complete di pojok kiri bawah.

Kelola aturan terstandarisasi

Lihat field dan dataset terstandarisasi

1. Akses Konsol Security Center - Agentic SOC - Management - Access Settings. Di pojok kiri atas halaman, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

2. Pada daftar Standard Fields di sebelah kiri, item di bawah Log Activity Category adalah Standardization Category yang didukung oleh Agentic SOC. Node akar merepresentasikan Standardization Structure.

3. Klik ikon expand di sebelah Standardization Category (misalnya, Network Log) untuk melihat Standardization Structure di bawahnya (misalnya, 5-tuple Log, DNS Log, dan HTTP Log).

4. Klik Standardization Structure (misalnya, API Risk Log). Informasi berikut muncul di sebelah kanan:

   • Standardized Field: Menampilkan field terstandarisasi untuk struktur yang dipilih, termasuk nama field, tipe, deskripsi, status wajib, dan nilai contoh.

   • Extended Fields: Menampilkan field ekstensi yang ditentukan pengguna, termasuk nama field, tipe, deskripsi, status tokenisasi, dan waktu pembaruan.

   • Dataset: Menampilkan Dataset untuk struktur yang dipilih.

Kelola field ekstensi

Dataset