1. Ce este mai exact parsarea?

Datele brute (cum ar fi logurile de firewall sau răspunsurile de la un API) vin adesea sub formă de text simplu sau JSON complex. Parsarea împarte acest text în bucăți mici, numite câmpuri sau atribute.

• Date brute (Raw): Dec 17 13:40:01 firewall-01 SSH_LOGIN_FAILURE 192.168.1.50 port 443

• Date parsate (Structurate):

  • Timestamp: 17 Decembrie, 13:40

  • Sursa: firewall-01

  • Eveniment: Eșec Autentificare SSH

  • IP_Sursă: 192.168.1.50

  • Port: 443

2. Cum te ajută parsarea la filtrarea amenințărilor?

Fără parsarare, un sistem de securitate vede doar “zgomot”. Odată ce datele sunt parsate, poți aplica filtre logice pentru a izola amenințările reale.

A. Identificarea tiparelor (Pattern Matching)

Dacă ai datele structurate, poți scrie reguli automate:

• Filtru: „Arată-mi toate adresele IP care au avut mai mult de 10 eșecuri de logare în 5 minute”

• Fără parsare: Computerul ar trebui să citească tot textul manual.

• Cu parsare: Interoghezi direct câmpul IP_Sursă și Eveniment.

B. Corelarea datelor din surse diferite

Poți compara un IP extras din logurile serverului tău cu o listă de adrese malițioase dintr-un API (precum cele din NPCCX).

Exemplu: Dacă IP-ul parsat din logul tău apare în baza de date cu „Botneți”, sistemul poate bloca automat conexiunea.

C. Reducerea “Zgomotului” (False Positives)

Parsarea îți permite să filtrezi evenimentele irelevante. De exemplu, poți seta scriptul tău Python să ignore toate logurile de tip INFO sau SUCCESS și să se concentreze doar pe cele marcate ca CRITICAL sau ERROR.

3. Exemplu practic în Python (Parsare JSON)

Majoritatea API-urilor moderne returnează date în format JSON. Python transformă acest format într-un dicționar, făcând parsarea extrem de simplă.

import json

# Datele primite de la un API de securitate (Raw JSON)
api_response = '{"status": "malicious", "threat_type": "phishing", "confidence": 98}'

# PASUL 1: Parsarea (conversia din text în obiect Python)
data = json.loads(api_response)

# PASUL 2: Filtrarea bazată pe datele parsate
if data['status'] == "malicious" and data['confidence'] > 90:
    print(f"ALERTĂ: Amenințare de tip {data['threat_type']} detectată!")
else:
    print("Nivel de risc scăzut.")

4. Instrumente care fac parsare automat

În industrie, nu scrii mereu cod de la zero. Există unelte dedicate care se ocupă cu parsarea masivă a datelor:

• Logstash: Parte din suita ELK, transformă logurile brute în date structurate pentru ElasticSearch.

• Splunk: Are parsere extrem de puternice care recunosc automat câmpurile din sute de tipuri de echipamente.

• Regex (Regular Expressions): Limbajul universal folosit pentru a extrage informații specifice din text (ex: extragerea unei adrese email dintr-un paragraf).