Regelleistung überwachen

Unterstützt in:

Diese Anleitung richtet sich an Sicherheitstechniker, die Regeln in Google Security Operations erstellen, bereitstellen und überwachen. Darin wird erläutert, wie Sie Regeln überwachen können, um sicherzustellen, dass sie wie vorgesehen funktionieren und nicht übermäßig viele Ressourcen verbrauchen. Dazu werden die in Ihrer Google SecOps-Instanz verfügbaren Daten verwendet. Mit diesen Daten können Sie verzögerte Erkennungen debuggen, die Auswirkungen von verspätet eingehenden Anreicherungsdaten auf Regeln nachvollziehen und ermitteln, welche Regeln die höchste durchschnittliche Zeit bis zur Erkennung (Mean Time to Detect, MTTD) haben.

Diese Anleitung enthält Dokumentation zu den folgenden Aufgaben:

  • Wie Sie eine Regel bei der ersten Veröffentlichung bewerten, Benachrichtigungen erhalten und das Regel-Dashboard verwenden, um ihren Zustand zu überwachen.

  • Wie Sie die Ursache für Erkennungsverzögerungen ermitteln (z. B. ob sie auf eine verspätete Aufnahme oder eine ineffiziente Logik zurückzuführen sind) und entweder die Berichte zur durchschnittlichen Zeit bis zur Erkennung (MTTD) anpassen oder die Regel mit zusätzlichen Regelausschlüssen optimieren.

Hinweis

Wenn Sie Regeln wie in diesem Dokument beschrieben ansehen und ändern möchten, müssen Sie Chronicle API-Bearbeiter sein. Weitere Informationen finden Sie unter Rollen und Berechtigungen in Google Security Operations.

Bevor Sie die Effektivität von Regeln in Google SecOps analysieren, sollten Sie sich mit der YARA-L-Sprache, YARA-L-Abfragen, dem Erstellen und Verwalten von Regeln und dem Erstellen von Dashboards vertraut machen:

Schlüsselterminologie

  • Regeln: Bedrohungen werden automatisch erkannt, wenn Logdaten in Ihr Google SecOps-Konto aufgenommen werden.
  • Kontingente: Beschränkungen für das Volumen der Datenaufnahme, die Anzahl und Komplexität der Abfragen, die Sie für Ihre Daten ausführen können, sowie die Anzahl und Komplexität der Regeln, die in Ihrem Google SecOps-Konto aktiv sind.
  • Benachrichtigungen und Erkennungen: Sicherheitsprobleme, die von Google SecOps und Ihrer eigenen Sicherheitsinfrastruktur erkannt wurden und Ihre Aufmerksamkeit erfordern.
  • Aufnahme: Prozess zum Importieren Ihrer Sicherheitsdaten in Google SecOps und zum Konvertieren in UDM.
  • Regelwiederholungen: Automatische Wiederholungen von Regeln für vorhandene Daten, falls relevante Kontextdaten später als die ursprünglichen Ereignisdaten eintreffen oder verarbeitet werden.
  • RetroHunt: Neue Regeln auf vorhandene Daten anwenden, um bisher unentdeckte Bedrohungen zu erkennen.

Regeln analysieren

In den folgenden Abschnitten wird beschrieben, wie Sie die Leistung Ihrer Regeln analysieren.

Regeln nach der Bereitstellung testen und bewerten

Wenn Sie eine Regel zum ersten Mal in der Produktion bereitstellen, überwachen Sie sie 24 bis 48 Stunden lang im Dashboard Rule Observability:

  1. Rufen Sie Dashboards auf.

  2. Suchen Sie nach Rule Observability.

  3. Suchen Sie in der Spalte Rule (Regel) nach der neuen Regel. Das Dashboard Rule Observability enthält Statistiken wie die Anzahl der Erkennungen, die Aufnahmeverzögerung und die Zeit von der Aufnahme bis zur Erkennung.

Damit die Regellogik keine künstlichen Verzögerungen verursacht, bevor sie mit dem Generieren von Benachrichtigungen mit hoher Priorität beginnt, können Sie die Schemareferenz für Erkennungen verwenden. Das Schema definiert das strukturierte Format, das zum Überwachen von Sicherheitsbenachrichtigungen verwendet wird. Es ist für das Tracking der Erkennungshäufigkeit, der Risikoverteilung und der Regelleistung optimiert. Anhand der Abfragebeispiele können Sie besser nachvollziehen, wie Sie das Schema verwenden, indem Sie einen genauen Blick darauf werfen.

Ursache für Verzögerungen bei Regelergebnissen ermitteln

Führen Sie die folgenden Schritte aus, um zu ermitteln, ob es zu Verzögerungen bei den Regelergebnissen kommt und wenn ja, warum:

  1. Rufen Sie Detections > Alerts & IOCs (Erkennungen > Benachrichtigungen und IOCs) auf.
  2. Suchen Sie auf dem Tab Alerts (Benachrichtigungen) nach der Spalte Detection Type (Erkennungstyp).
  3. Suchen Sie nach Benachrichtigungen mit einem gelben Glühbirnensymbol.
  4. Bewegen Sie den Mauszeiger auf das Symbol, um zu sehen, ob die Erkennung durch eine der folgenden Aktionen ausgelöst wurde:
    • Rule reprocessing (Regelwiederholung): Aufgrund einer Regelwiederholung generiert
    • RetroHunt: Manuell von einem Nutzer ausgelöst.
    • Delayed event data (Verzögerte Ereignisdaten): Aufgrund einer Regelwiederholung generiert, speziell wegen verspätet eingetroffener Daten.

Eine detailliertere Beschreibung der Erkennungen, die aufgrund einer Regelwiederholung erstellt wurden, finden Sie unter Regelwiederholungen.

Benachrichtigungen nach Erkennungszeit filtern

  1. Rufen Sie Detections > Alerts & IOCs (Erkennungen > Benachrichtigungen und IOCs) auf.

  2. Verwenden Sie auf dem Tab Alerts (Benachrichtigungen) das Filterelement für die Spalte Detection time (Erkennungszeit), um Erkennungen nach ihrer Ankunftszeit zu sortieren.

  3. Klicken Sie oben in der Tabelle auf das Symbol „Aktualisieren“ und dann auf Refresh Now. Sie sehen die neuesten Benachrichtigungen, die in Ihrem Google SecOps-Konto eingegangen sind, und die Regel, die mit jeder Benachrichtigung verknüpft ist (siehe Spalte Rule name (Regelname)).

Metadaten untersuchen

Wenn Sie weitere Informationen zur Leistung Ihrer Regeln erhalten möchten, können Sie das Roh-JSON der Erkennung mit latencyMetrics untersuchen, um die Differenz zwischen dem oldestEventTime und demoldestIngestionTime zu ermitteln.

Werte für die Erkennungszeit

In der folgenden Tabelle sind die aufgezählten Werte für DetectionTimingDetails aufgeführt:


Wert
Beschreibung
Auswirkungen auf die MTTD

UNSPECIFIED


Erkennung innerhalb des Zeitfensters für Reservierungen erstellt.
Grundwahrheit für die MTTD.

REPROCESSING


Aufgrund einer Regelwiederholung generiert (z. B. verspätet eingetroffene Daten).
Stellt ein Betriebsrisiko dar und sollte in Berichten berücksichtigt werden.

RETROHUNT


Durch einen RetroHunt-Lauf in der Vergangenheit generiert.
Wird in der Regel aus Standardberichten zur MTTD herausgefiltert.

Beispiel: latencyMetrics-Metadaten

Im folgenden latencyMetrics Beispiel wird die Zeitdifferenz zwischen dem Zeitpunkt, zu dem ein Ereignis aufgetreten ist (oldestEventTime im Vergleich zu newestEventTime) und dem Zeitpunkt, zu dem das Ereignis aufgenommen wurde (oldestIngestionTime im Vergleich zu newestIngestionTime), dargestellt. Die Latenz zwischen dem Ereignis und der Aufnahme in das Google SecOps-Konto beträgt etwa 53 Minuten.

"detectionTimingDetails": ["DETECTION_TIMING_DETAILS_REPROCESSING"],
"latencyMetrics": {
  "oldestIngestionTime": "2025-12-09T16:54:14Z",
  "newestIngestionTime": "2025-12-09T16:54:14Z",
  "oldestEventTime": "2025-12-09T16:01:06Z",
  "newestEventTime": "2025-12-09T16:01:06Z"
}

Fehlerbehebung

In der folgenden Tabelle sind einige Probleme aufgeführt, die bei Ihren Regeln auftreten können, sowie mögliche Lösungen:


Problem
Lösung

Das Glühbirnensymbol wird angezeigt, die Aufzählung ist jedoch UNSPECIFIED.
Das ist normal, wenn die Differenz zwischen Ereigniszeit und Aufnahmezeit mehr als 30 Minuten beträgt. Verwenden Sie die Messwerte im Data Health Hub , um die Ursache für die Aufnahmeverzögerung zu ermitteln.

Die Erkennung erfolgt spät im Vergleich zum Zeitpunkt des Ereignisses.
Prüfen Sie detectionTimingDetails. Wenn der Aufzählungswert REPROCESSING ist, ist die Verzögerung wahrscheinlich auf verspätet eingetroffene Anreicherungsdaten und nicht auf die Latenz bei der Regelausführung zurückzuführen. Wenn UNSPECIFIED angezeigt wird, untersuchen Sie die Effizienz der Regellogik.

Übermäßige Rechenleistung.
Die Regel scannt wahrscheinlich zu viele Daten oder hat eine ineffiziente Logik. Rufen Sie Rule Exclusions (Regelausschlüsse) auf oder verwenden Sie Filter Offloading (Filterauslagerung), um die Regel so zu optimieren, dass die Datensuche eingeschränkt wird.

Bekannte Einschränkungen

  • Starre Grenzwerte:Die visuelle Kennzeichnung für verspätete Daten ist auf einen Grenzwert von 30 Minuten festgelegt und berücksichtigt keine benutzerdefinierten Latenzfenster.
  • Datenzustand:Die Regelbeobachtbarkeit informiert über den Zustand der Regel, aber die Überwachung des Datenzustands (näher an der Aufnahme) ist effektiver, um allgemeine Probleme mit verspätet eingetroffenen Daten zu erkennen.
  • Kontingenterzwingung:Im Dashboard wird die Ressourcennutzung angezeigt, aber es werden keine Echtzeitbenachrichtigungen gesendet, wenn sich Regeln einem Kontingentlimit nähern.

Nächste Schritte

Weitere Informationen zu Regelwiederholungen und Verzögerungen bei der Erkennung von Regeln finden Sie unter:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten