管理規則執行時間表

支援的國家/地區：

Google SecOps SIEM

本文適用於想在 Google Security Operations 中管理規則執行時間表的安全分析師和工程師。本文說明如何設定掃描頻率 (從即時掃描到 24 小時排程間隔)，以及如何解讀處理延遲抵達資料的背景執行作業。

常見用途

選擇合適的排程取決於威脅的嚴重程度和邏輯的複雜度。大多數團隊會根據下列目標安排行程。

修改任何排程前，請確認環境符合下列需求，以免發生設定錯誤。

權限：您必須具備 Chronicle API 管理員 (roles/chronicle.admin) 或 Chronicle API 編輯者 (roles/chronicle.editor) 角色，才能修改規則排程。
環境檢查：請確認記錄已正確對應至統合式資料模型 (UDM)，以支援排程間隔匯總。

如要進一步瞭解系統如何處理時間碼，請先熟悉下列平台專屬術語。

Google SecOps 會根據規則邏輯，自動判斷可用的排程選項。「執行時間表」選單只會顯示與特定規則類型相容的選項 (例如單一事件與多個事件)。

系統會根據下列時間表，在事件送達後進行評估。這項延遲是為了確保資料完整性，並考量擷取或擴充延遲。

為避免因擷取延遲或延後擴充而錯過偵測結果，系統會自動對多事件規則執行「修正」作業：

注意：單一事件規則會在標準執行期間處理延遲抵達和經過擴充的資料，不會使用 5 小時和 24 小時的修正週期。

如要變更系統評估自訂偵測邏輯的頻率，請按照下列步驟操作：

規則啟用後，您就能區分初始快訊和系統自動重新執行規則所產生的快訊。

查看資料的維度，瞭解特定偵測結果出現或隨時間變化的原因。雖然系統會立即找出大部分威脅，但某些資料細微差異需要背景處理才能完全準確。瞭解這些背景執行作業，有助於準確評估平均偵測時間 (MTTD)，並驗證快訊的完整性。

規則執行頻率會直接影響偵測速度。排程頻率越低，系統處理偵測作業的時間就越晚。

規則的初始執行作業可能無法找出偵測結果，但後續的校正執行作業可能會找出。這項行為可確保系統立即找出大部分的威脅，同時允許稍後進行高精確度確認。常見原因包括：

如果找不到自訂選項或排程受限，請參閱下表排解常見問題。

問題	原因和修正方式
缺少自訂時間表選項	單一事件規則使用即時引擎，不支援排定間隔。此外，精選規則會按照固定的系統排程執行，您無法修改。
不支援的時間間隔	如果無法選取「近乎即時」，表示規則可能使用 `match` 區段或匯總 (例如 `count` 或 `sum`)。這些函式需要排定間隔，才能處理一段時間內的資料。