設定自訂剖析器

支援語言：

Google SecOps SIEM

本文提供相關指引，說明如何建立自訂剖析器，以因應沒有預建剖析器或需要進一步控制的情況。自訂剖析器會與預建剖析器一起顯示在剖析器清單中。

常見用途包括：

根據對應指示建立自訂剖析器

您可以編寫程式碼，將原始原始記錄轉換為 UDM 記錄，藉此建立自訂剖析器。

使用現有剖析器做為範本，建立新的自訂剖析器。此方法僅支援以程式碼為基礎的做法。如要開始使用，請按照下列步驟操作：

在「應用程式」選單中，依序選取「設定」 >「剖析器」。
按一下「建立剖析器」。
從「記錄來源」清單中選取適當的記錄來源。
選取「使用現有的預先建構剖析器開始操作」，以現有的剖析器為基礎建立新的自訂剖析器。

注意： 如果所選記錄來源沒有預先建構的剖析器，就不會顯示這個選項。
點選「建立」。
在「剖析器程式碼終端機」中編輯程式碼。詳情請參閱「建立程式碼片段對應指示」。
選用：按一下「編輯」，即可編輯原始記錄。
選用：按一下「重新整理」，即可重新整理原始記錄。
新增程式碼來建構剖析器時，請按一下「預覽」，查看 UDM 輸出內容。如果代碼不正確，系統會顯示錯誤訊息。

在預覽畫面中，您可以使用 statedump 篩選器外掛程式驗證剖析器的內部狀態。詳情請參閱「使用 statedump 外掛程式驗證資料」。
按一下「驗證」，驗證自訂剖析器。

驗證程序可能需要幾分鐘，因此建議您先預覽自訂剖析器，視需要進行變更，然後再驗證自訂剖析器。
按一下「提交」。

20 分鐘後，系統會啟動剖析器進行正規化程序。

自訂剖析器會在 20 分鐘後停用，並啟用目前的預建剖析器版本。預建剖析器現在會成為預設剖析器。

自訂剖析器會遭到刪除，而目前的預建剖析器版本會在 20 分鐘後啟用。

剖析器擴充功能提供彈性方式，可擴充現有自訂剖析器的功能。但無法取代自訂剖析器。而是從原始記錄中，將其他欄位無縫擷取至 UDM 記錄。剖析器擴充功能與自訂剖析器不同。

如要建立剖析器擴充功能，請參閱「使用剖析器擴充功能」。

「驗證」欄會顯示自訂剖析器或剖析器擴充功能的驗證測試狀態。