管理规则运行时间表

支持的平台：

Google SecOps SIEM

本文档适用于希望在 Google Security Operations 中管理规则运行时间表的安全分析师和工程师。本文介绍了如何配置频次设置（从实时扫描到 24 小时间隔），以及如何解读处理延迟到达数据的后台运行。

常见使用场景

选择合适的时间表取决于威胁的严重程度和逻辑的复杂程度。大多数团队都会根据以下目标来确定日程安排的优先级。

在修改任何时间表之前，请确保您的环境满足以下要求，以免出现配置错误。

权限：您必须拥有 Chronicle API 管理员 (roles/chronicle.admin) 或 Chronicle API 编辑者 (roles/chronicle.editor) 角色才能修改规则调度。
环境检查：确保您的日志已正确映射到统一数据模型 (UDM)，以支持按预定时间间隔进行汇总。

为了更好地了解系统如何处理计时，请熟悉以下特定于平台的术语。

Google SecOps 会根据您的规则逻辑自动确定可用的时间安排选项。运行时间表菜单仅显示与您的特定规则类型（例如单事件与多事件）兼容的选项。

系统会在事件到达后根据以下时间表对其进行评估。这种延迟可确保数据完整性，并考虑注入或丰富延迟。

为防止因数据提取延迟或后期丰富而导致检测遗漏，系统会自动针对多事件规则执行“校正”运行：

注意：单事件规则在标准执行期间处理延迟到达的数据和丰富的数据，并且不使用 5 小时和 24 小时的校正周期。

如需更改系统评估自定义检测逻辑的频率，请执行以下操作：

规则生效后，您可以区分初始提醒和系统自动重新运行生成的提醒。

查看数据的各个维度，以调查为何特定检测结果会显示或随时间变化。虽然系统可以立即识别出大多数威胁，但某些细微的数据差别需要进行后台处理才能提供完全准确的结果。了解这些后台运行有助于您准确衡量检测平均时间 (MTTD)，并验证提醒的完整性。

规则运行频率会直接影响检测速度。较低的调度频率会增加事件发生与系统处理检测之间的时间。

规则的初始运行可能无法识别在后续的校正运行中出现的检测结果。此行为可确保系统立即识别大多数威胁，同时允许稍后进行高保真度确认。出现该消息的常见原因包括：

请使用此表格解决与缺少自定义选项或受限时间表相关的常见问题。

问题	原因和修复
缺少自定义时间表选项	单事件规则使用实时引擎，不支持预定间隔。此外，精选规则遵循无法修改的固定系统时间表。
不支持的间隔	如果您无法选择近乎实时，则您的规则可能使用了 `match` 部分或聚合函数（例如 `count` 或 `sum`）。这些函数需要按预定间隔处理数据。