Procesadores analizadores

Los procesadores analizadores convierten los datos de registro sin procesar o semiestructurados en formatos estructurados. Cada canalización puede tener como máximo un procesador de análisis principal, que debe ser el primer procesador de la canalización. El analizador XML es una excepción: funciona con los campos generados por un analizador principal y puede agregar como máximo cinco instancias a una sola canalización.

Procesador de OCSF

Analiza y transforma los datos de registro de acuerdo con los estándares del Marco de esquema de ciberseguridad abierto (OCSF).

Configuración

Configure el procesador de OCSF con los siguientes parámetros:

processor:
  - ocsf:
      version: "1.5"
      mapping_version: 1.5.0
      schema:
          microsoft_office365_management_activity:

En esta tabla se muestran las combinaciones de esquemas admitidas.

Procesador de CSV

Analiza los datos con formato CSV en campos estructurados.

Configuración

Configure el procesador de CSV con los siguientes parámetros:

processor:
  - csv:      
      column_names: ["col1", "col2", "col3"]
      delimiter: ","
      quote_character: '"'

Para utilizar el procesador sin especificar ningún parámetro adicional, utilice el siguiente comando:

processor:
  - csv: {}

Procesador Grok

Analiza datos no estructurados mediante patrones de Grok. Se admite como máximo 1 Grok por canalización. Para obtener más información sobre el transformador de Grok en Registros de CloudWatch, consulte Procesadores que puede usar en la Guía del usuario de Registros de CloudWatch.

Configuración

Configure el procesador de Grok con los siguientes parámetros:

Cuando el origen de datos es un diccionario, puede usar esta configuración:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Cuando el origen de datos es Registros de CloudWatch, puede usar esta configuración:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Procesador de VPC

Analiza los datos del registro de flujo de VPC en campos estructurados.

Configuración

Configure el procesador de VPC con los siguientes parámetros:

processor:
  - parse_vpc: {}
     

Procesador de JSON

Analiza los datos de JSON en campos estructurados.

Configuración

Configure el procesador de JSON con los siguientes parámetros:

processor:
  - parse_json:
      source: "message"
      destination: "parsed_json"

Procesador de Route 53

Analiza los datos de registro de Route 53 Resolver en campos estructurados.

Configuración

Configure el procesador de Route 53 con los siguientes parámetros:

processor:
  - parse_route53: {}
      

Procesador de Amazon RDS

Analiza los datos de registro de Aurora de Amazon RDS en campos estructurados. El procesador parse_rds solo es compatible cuando el valor data_source_name de la canalización es amazon_rds. Aplica la lógica de análisis que coincide con el valor data_source_type de la canalización .

Configuración

Configure el procesador de Amazon RDS con los siguientes parámetros:

processor:
  - parse_rds: {}

Procesador de clave-valor

Analiza los datos con formato de pares clave-valor en campos estructurados.

Configuración

Configure el procesador de clave-valor con los siguientes parámetros:

processor:
  - key_value:
      source: "message"
      destination: "parsed_kv"
      field_delimiter: "&"
      key_value_delimiter: "="

Para utilizar el procesador sin especificar ningún parámetro adicional, utilice el siguiente comando:

processor:
  - key_value: {}

Analizador XML

Utilice el analizador XML para convertir al formato JSON un campo específico que contenga una cadena XML. Utilice el analizador XML cuando los eventos de registro contengan campos XML incorporados que desee consultar como datos estructurados. El analizador XML funciona con un campo con nombre que ya contiene una cadena XML. Coloque este analizador después de un analizador principal en la canalización. Puede agregar como máximo cinco analizadores parse_xml a una sola canalización.

Configuración

Configure el analizador XML con los siguientes parámetros:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Ejemplo: salida del analizador XML

Dado el siguiente evento de registro JSON con un campo XML incorporado:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>"
}

Con la siguiente configuración:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

El analizador XML genera la siguiente salida:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>",
  "parsed_xml": {
    "id": "123",
    "active": "true",
    "name": "John",
    "age": "30"
  }
}