Benutzerdefinierte Zeitpläne für Regeln konfigurieren

Unterstützt in:

Dieses Dokument richtet sich an Sicherheitsanalysten, ‑ingenieure und Plattformadministratoren, die konfigurieren und verwalten möchten, wie Google Security Operations die Ausführung von Regeln plant. Es wird erläutert, wie Sie die Ausführungshäufigkeit anpassen, Abwicklungsverzögerungen konfigurieren und Zeitpläne für Korrekturausführungen für benutzerdefinierte Regeln für mehrere Ereignisse verwalten.

Wenn Sie die in diesem Dokument beschriebenen Schritte ausführen, erhalten Sie genaue Kontrolle über die Erkennungslatenz und die Datenintegrität. Bei erfolgreicher Ausführung sind Ihre Erkennungen sowohl zeitnah als auch genau, wodurch falsch-negative Ergebnisse aufgrund von Verzögerungen bei der Aufnahme reduziert und konsistente Sicherheitsvorgänge gewährleistet werden.

Anpassbare Zeitpläne bieten Transparenz und Kontrolle darüber, wie Regeln für mehrere Ereignisse in Google Security Operations ausgeführt werden. Für einige Regeln für mehrere Ereignisse ist möglicherweise ein Pufferzeitraum erforderlich, um Daten genau zu aggregieren. Mit dieser Methode können Sie diesen Zeitraum definieren, anstatt sich auf Systemstandardeinstellungen zu verlassen.

Gängige Anwendungsfälle

Mit anpassbaren Zeitplänen können Sie Ausführungsparameter an bestimmte betriebliche Ziele anpassen:

  • Korrelation mit kurzem Zeitfenster: Führen Sie Regeln für mehrere Ereignisse mit Zeitfenstern für den Abgleich von weniger als 60 Minuten alle 10 Minuten aus (anstatt auf das Standardintervall von 1 Stunde zu warten), um zeitkritische Bedrohungen wie Brute-Force-Angriffe schneller zu erkennen.
  • Verzögerung bei der Aufnahme kompensieren: Konfigurieren Sie eine Abwicklungsverzögerung (T + Offset) für Logquellen mit bekannten Verzögerungen bei der Zustellung, damit die primäre Ausführung alle erwarteten Ereignisse umfasst.
  • Vollständigkeit des Kontexts gewährleisten: Aktivieren Sie die Option Vollständigkeit der Anreicherung gewährleisten für nicht kritische Compliance- und Forensikregeln, für die vor der endgültigen Auswertung eine vollständige Auflösung der Entitäts- und Asset-Metadaten erforderlich ist.

Schlüsselterminologie

  • Primäre Ausführung (T + Offset): Die erste Ausführung der Regellogik für eingehende Daten. Die Abwicklungsverzögerung stellt den Offset dar, der hinzugefügt wird, um verspätet eingehende Daten zu berücksichtigen.
  • Abwicklungsverzögerung: Der Pufferzeitraum, der der primären Ausführung hinzugefügt wird, damit verspätet eingehende Logs verarbeitet werden können, bevor die Regelauswertung beginnt.
  • Korrekturausführung: Eine erneute Auswertung desselben Zeitfensters im Hintergrund, um Logs oder Anreicherungsdaten zu erfassen, die nach der primären Ausführung eingegangen sind.
  • Anreicherung: Externe Metadaten (z. B. Asset-Tags oder Nutzer-Aliase), die während der Verarbeitung zu Logs hinzugefügt werden.

Hinweis

Bevor Sie versuchen, Ihre Regelzeitpläne zu ändern oder zu automatisieren, prüfen Sie, ob Ihre Umgebung und Ihr Konto die erforderlichen Sicherheits- und Systemanforderungen erfüllen. Wenn Sie diese Voraussetzungen bestätigen, können Sie Bereitstellungsfehler vermeiden und sicherstellen, dass Ihre Erkennungslogik mit den Identity and Access Management-Richtlinien Ihrer Organisation übereinstimmt.

  • Berechtigungen: Zum Ändern von Regelzeitplänen benötigen Sie die folgenden IAM-Berechtigungen:

    • chronicle.ruleDeployments.update für die API-Nutzung für einzelne Zeitplanaktualisierungen.

    • chronicle.rules.modifyRules für Batch-API-Aktualisierungen und die UI-Nutzung.

    Wenn Sie vordefinierte IAM-Rollen wie „Chronicle API Admin“ (roles/chronicle.admin) oder „Chronicle API Editor“ (roles/chronicle.editor) verwenden, sind diese Berechtigungen automatisch enthalten.

  • Umgebungsprüfung:

    • Regeltyp: Anpassbare Zeitpläne gelten nur für Regeln für mehrere Ereignisse. Regeln für einzelne Ereignisse (einschließlich Standardregeln, Regeln mit Zeitfenster und referenzbasierten Regeln) werden nahezu in Echtzeit ausgewertet und können nicht angepasst werden. Ausgewählte Regeln verwenden feste Systemzeitpläne und sind ausgeschlossen.
    • match Zeitfenster: Regeln für mehrere Ereignisse mit einem match Zeitfenster von mehr als 48 Stunden werden mit einer automatisch zugewiesenen Häufigkeit von match_window / 10 ausgeführt und können nicht angepasst werden.
    • Migration: Die Migration eines Legacy-Zeitplans zu einem anpassbaren Zeitplan ist ein einmaliger Vorgang und kann nicht rückgängig gemacht werden.

Zeitplan für eine Regel für mehrere Ereignisse konfigurieren

So konfigurieren Sie den Zeitplan für eine Regel für mehrere Ereignisse:

  1. Rufen Sie in Google SecOps Detection > Rules & Detections auf.
  2. Klicken Sie auf Rules Dashboard.
  3. Suchen Sie in der Tabelle mit den Regeln nach Ihrer Regel, klicken Sie auf Mehr more_vert und wählen Sie Zeitplan ausführen aus.
  4. Konfigurieren Sie auf dem Tab Regelzeitplan den Abschnitt Primäre Ausführung :
    1. Wählen Sie in der Liste Häufigkeit festlegen aus, wie oft die Regel ausgeführt werden soll (z. B. Alle 10 Minuten oder Alle 1 Stunde).
    2. Optional: Aktivieren Sie die Option Abwicklungsverzögerung, um verspätet eingehende Daten zu berücksichtigen.
    3. Geben Sie im Feld Verzögerung den Wert für die Verzögerung ein und wählen Sie im Menü Einheit die Zeiteinheit (Minuten oder Stunden) aus.
  5. Aktivieren Sie im Abschnitt Korrekturausführung optional die Option Vollständigkeit der Anreicherung gewährleisten.
    • Erwarteter Fehler: Benachrichtigungen werden möglicherweise deutlich später als der Zeitstempel des Ereignisses angezeigt, wenn die Verarbeitung externer Kontextquellen Zeit in Anspruch nimmt.
    • Korrektiver Schritt: Verwenden Sie diese Option nur für nicht kritische Compliance- und Forensikregeln, bei denen die Kontextgenauigkeit wichtiger ist als die Geschwindigkeit der Benachrichtigung.
  6. Prüfen Sie die Ausführungszeitachse unter Primäre Ausführung und Korrekturausführung:
    • Primäre Ausführung:Das System führt die Regellogik nach der Abwicklungsverzögerung aus, die Sie für verspätet eingehende Daten angeben.
    • Korrekturausführung 1:Das System scannt das Zeitfenster 4 Stunden nach der primären Ausführung automatisch noch einmal, um fehlende oder verspätete Daten zu erfassen. Wenn Sie Vollständigkeit der Anreicherung gewährleisten aktivieren, wartet diese Ausführung auch auf die Verarbeitung der zugehörigen Anreicherungsdaten.
    • Korrekturausführung 2:Wird nur angezeigt, wenn Sie Vollständigkeit der Anreicherung gewährleisten aktivieren. Das System führt 30 Stunden nach der primären Ausführung einen letzten Scan durch, um maximale Datenintegrität zu gewährleisten.
  7. Klicken Sie auf Speichern.

Fehlerbehebung

Untersuchen Sie Zeitplanprobleme, indem Sie den Zeitpunkt der Auswertung und die Regelkonfiguration prüfen. Die meisten Zeitplanaufgaben werden zwar von der Plattform automatisiert, bestimmte Einstellungen oder Datenverzögerungen können sich jedoch auf den Zeitpunkt auswirken, zu dem Erkennungen angezeigt werden.

Erkennungen werden nur bei Korrekturausführungen angezeigt

Wenn eine Erkennung nicht während der primären Ausführung (T) angezeigt wird, aber bei einer Korrekturausführung (T + 4 Stunden oder T + 30 Stunden), prüfen Sie Folgendes:

  • Ingestion-Latenz: Prüfen Sie, ob die Protokollquelle eine Verzögerung aufweist. Wenn Logs 15 Minuten nach dem Auftreten des Ereignisses eingehen, werden sie bei einem Zeitplan für die erste Ausführung von 10 Minuten nicht erfasst. Diese verspäteten Eingänge werden bei den Korrekturausführungen erfasst.
  • Kontextanreicherung:Prüfen Sie, ob die Regel auf externen Metadaten wie Asset-Tags oder Nutzer-Aliasen basiert. Wenn der Anreicherungsprozess länger dauert als das Zeitfenster für die primäre Ausführung, wird die Erkennung erst angezeigt, nachdem das System die Anreicherung bei einer späteren Korrekturausführung abgeschlossen hat.

Anpassbare Optionen fehlen

Wenn auf dem Tab Regelzeitplan keine Anpassungsoptionen angezeigt werden oder das Menü ausgegraut ist:

  • Regeltyp prüfen:Anpassbare Zeitpläne gelten nur für Regeln für mehrere Ereignisse. Regeln für einzelne Ereignisse (einschließlich Standardregeln, Regeln mit Zeitfenster und referenzbasierten Regeln) werden nahezu in Echtzeit ausgewertet und unterstützen keine benutzerdefinierten Zeitpläne.
  • **match Zeitfenster prüfen**:Regeln für mehrere Ereignisse mit einem match Zeitfenster von mehr als 48 Stunden werden mit einer automatisch zugewiesenen Häufigkeit von match_window / 10 ausgeführt und können nicht angepasst werden.
  • Ausgewählte Regeln identifizieren:Sie können den Zeitplan für ausgewählte Regeln nicht ändern. Wenn Sie eine ausgewählte Regel prüfen, wird in der UI die Meldung Multi-event curated rules use a legacy schedule angezeigt.

Unerwartete Verzögerung bei Benachrichtigungen zur ersten Ausführung

Wenn eine Erkennung später als im Zeitplan angegeben eingeht:

  • Initialisierungszeitraum:Für neue oder kürzlich geänderte Regeln ist ein Initialisierungszeitraum von einer Stunde erforderlich. Erkennungen werden erst angezeigt, wenn die Plattform diese erste Einrichtung abgeschlossen hat und der erste geplante Zyklus beginnt.
  • Wartezeiten für die Anreicherung:Wenn Sie die Option Vollständigkeit der Anreicherung gewährleisten aktivieren, kann das System den Zeitpunkt dynamisch anpassen, um auf den Abschluss der Datenanreicherungsprozesse zu warten. Dieser Prozess verhindert zwar, dass Erkennungen verpasst werden, kann aber dazu führen, dass die erste Erkennung später als der genaue Zeitstempel T eingeht.

MTTD-Messungen scheinen hoch zu sein

Die MTTD-Messungen umfassen den Pufferzeitraum, der für die Vollständigkeit der Daten erforderlich ist.

  • Puffer prüfen: Bei einem Zeitplan von einer Stunde wertet das System Ereignisse ein bis zwei Stunden nach ihrem Eintreffen aus.
  • Für Geschwindigkeit optimieren: Wenn Sie eine geringere Latenz benötigen, konfigurieren Sie die Regel für einen 10-Minuten-Zeitplan (für Zeitfenster für den Abgleich von weniger als 60 Minuten) oder wandeln Sie die Erkennungslogik in eine Regel für einzelne Ereignisse um, die nahezu in Echtzeit ausgeführt wird, wenn keine Ereignisaggregation erforderlich ist.

Beschränkungen

  • Nur Regeln für mehrere Ereignisse: Diese Funktion ist für Regeln für einzelne Ereignisse nicht verfügbar. Regeln für einzelne Ereignisse (einschließlich Standardregeln, Regeln mit Zeitfenster und referenzbasierten Regeln) werden nahezu in Echtzeit ausgewertet.
  • Nur benutzerdefinierte Regeln: Ausgewählte Regeln verwenden feste Zeitpläne, die Sie nicht ändern können. Wenn Sie eine ausgewählte Regel aufrufen, wird die Meldung Multi-event curated rules use a legacy schedule angezeigt. Wenn Sie eine benutzerdefinierte Legacy-Regel aufrufen, wird die Meldung Your Multi-Event rule uses a legacy schedule angezeigt.

Fehlerbehebung

Fehler Problem Korrektur
Fehlende Optionen Der Tab „Regelzeitplan“ ist ausgegraut oder Optionen fehlen. Prüfen Sie, ob die Regel eine benutzerdefinierte Regel für mehrere Ereignisse ist und das Zeitfenster für den Abgleich 48 Stunden oder weniger beträgt. Ausgewählte Regeln und Regeln für einzelne Ereignisse können nicht angepasst werden.
Nicht unterstützte Intervalle Streaming in nahezu Echtzeit kann nicht ausgewählt werden. Für Regeln für mehrere Ereignisse, die eine Korrelation zwischen Ereignissen erfordern, oder Regeln, die Aggregationen verwenden (z. B. count oder sum), ist die geplante Batch-Abfrage-Engine erforderlich.
Verzögerte Benachrichtigungen Erkennungen gehen später als im Zeitplan angegeben ein. Prüfen Sie, ob die Option Vollständigkeit der Anreicherung gewährleisten aktiviert ist. Das System wartet möglicherweise auf die Verarbeitung von Metadaten.
Nur Benachrichtigungen bei Korrekturausführungen Erkennungen werden bei der primären Ausführung (T) nie angezeigt. Prüfen Sie die Verzögerung bei der Logaufnahme. Wenn Logs 15 Minuten zu spät eingehen, Ihre Abwicklungsverzögerung aber 10 Minuten beträgt, erhöhen Sie die Abwicklungsverzögerung.

Validierung und Tests

So prüfen Sie, ob Ihr Zeitplan wie vorgesehen funktioniert:

  1. Rufen Sie in Google SecOps Detection > Rules & Detections auf und wählen Sie Rules Dashboard aus.
  2. Wählen Sie Ihre Regel aus und rufen Sie den Tab Erkennungen auf.
  3. Prüfen Sie die Spalte Erkennungstyp und filtern Sie nach , um zu prüfen, ob bei Korrekturausführungen Daten erfasst werden, die bei der primären Ausführung nicht erfasst wurden. Passen Sie dann die Abwicklungsverzögerung entsprechend an.

Nächste Schritte

Weitere Informationen zu verwandten Zeitplankonzepten und Konfigurationsabläufen finden Sie in den folgenden Dokumenten:

  • Regelzeitpläne: Informationen dazu, wie Google SecOps Regelkonfigurationen kontinuierlichen Streaming- und geplanten Batch-Abfrage-Engines zuordnet.
  • Regelwiederholungen und MTTD: Informationen dazu, wie verspätet eingehende Daten und Kontextaktualisierungen durch automatisierte Korrekturausführungen verarbeitet werden und sich auf die MTTD-Messwerte (Mean Time to Detect) auswirken.
  • Verzögerungen bei der Erkennung von Regeln: Informationen zum Diagnostizieren und Beheben von erwarteten und unerwarteten Verzögerungen in Aufnahme- und Verarbeitungspipelines.
  • Regeln mit dem Regel-Editor verwalten: Informationen zum Erstellen, Bearbeiten und Verwalten benutzerdefinierter Erkennungsregeln in Google SecOps.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten.