Benutzerdefinierte Zeitpläne für Regeln konfigurieren

Unterstützt in:

Dieses Dokument richtet sich an Plattformadministratoren und SOC-Analysten, die anpassbare Zeitpläne für Regeln für mehrere Ereignisse konfigurieren und Fehler beheben möchten. Es wird erläutert, wie Sie Verarbeitungszeitpläne festlegen und zusätzliche Prüfungen ausführen, um verspätet eingehende Daten zu berücksichtigen.

Wenn Sie die in diesem Dokument beschriebenen Schritte ausführen, haben Sie die genaue Kontrolle über die Erkennungslatenz und die Datenintegrität. Wenn Sie alle Schritte erfolgreich ausführen, sind Ihre Erkennungen sowohl zeitnah als auch genau. So werden falsch-negative Ergebnisse aufgrund von Verzögerungen bei der Aufnahme reduziert und ein konsistenter Sicherheitsbetrieb gewährleistet.

Anpassbare Zeitpläne bieten Transparenz und Kontrolle darüber, wie Regeln für mehrere Ereignisse in Google Security Operations ausgeführt werden. Für einige Regeln für mehrere Ereignisse ist möglicherweise ein Pufferzeitraum erforderlich, um Daten genau zu aggregieren. Mit dieser Methode können Sie diesen Zeitraum definieren, anstatt sich auf die Standardeinstellungen des Systems zu verlassen.

Weitere Informationen finden Sie unter Zeitplan für die Ausführung von Regeln verwalten.

Schlüsselterminologie

  • Erste Ausführung (𝑇 + Offset): Die erste Ausführung der Regellogik. Der Offset stellt die Verzögerung dar, die hinzugefügt wird, um verspätet eingehende Daten zu berücksichtigen.
  • Korrekturausführung: Eine erneute Hintergrundbewertung desselben Zeitfensters, um Logs oder Anreicherungsdaten zu erfassen, die nach der ersten Ausführung eingegangen sind.
  • Anreicherung: Externe Metadaten (z. B. Asset-Tags oder Nutzer-Aliasse), die während der Verarbeitung zu Logs hinzugefügt werden.

Hinweis

Bevor Sie versuchen, Ihre Regelzeitpläne zu ändern oder zu automatisieren, prüfen Sie, ob Ihre Umgebung und Ihr Konto die erforderlichen Sicherheits- und Systemanforderungen erfüllen. Wenn Sie diese Voraussetzungen prüfen, können Sie Bereitstellungsfehler vermeiden und sicherstellen, dass Ihre Erkennungslogik mit den Identity and Access Management-Richtlinien Ihrer Organisation übereinstimmt.

  • Berechtigungen: Zum Ändern von Regelzeitplänen benötigen Sie die folgenden IAM-Berechtigungen:

    • chronicle.ruleDeployments.update für die API-Nutzung für einzelne Zeitplanaktualisierungen.

    • chronicle.rules.modifyRules für Batch-API-Aktualisierungen und die UI-Nutzung.

  • Umgebungsprüfung:

    • Regeltyp: Anpassbare Zeitpläne gelten nur für Regeln für mehrere Ereignisse. Regeln für einzelne Ereignisse und ausgewählte Regeln sind ausgeschlossen.
    • match-Fenster: Für Regeln mit einem match-Fenster von mehr als 48 Stunden ist die Ausführungshäufigkeit auf Täglich beschränkt.
    • Migration: Die Migration eines Legacy-Zeitplans zu einem anpassbaren Zeitplan ist ein einmaliger Vorgang und kann nicht rückgängig gemacht werden.

Zeitplan für eine Regel für mehrere Ereignisse konfigurieren

So konfigurieren Sie den Zeitplan für eine Regel für mehrere Ereignisse:

  1. Gehen Sie in Google SecOps zu Detection > Rules & Detections.
  2. Klicken Sie auf Rules Dashboard.
  3. Suchen Sie die Regel und klicken Sie auf Mehr more_vert und wählen Sie Zeitplan ausführen aus.
  4. Wählen Sie auf dem Tab Regelzeitplan einen Wert für das Feld Zeitplan für die erste Ausführung aus und legen Sie fest, wie oft die Regel ausgeführt werden soll.
  5. Aktivieren Sie die Option Erste Ausführung für verspätet eingehende Daten anpassen.
    • Erwarteter Fehler: Bei der ersten Ausführung werden möglicherweise immer noch Logs ausgelassen, wenn der Offset kürzer als die tatsächliche Aufnahmeverzögerung Ihrer Quelle ist.
    • Korrektiver Schritt: Erhöhen Sie den Offset oder verlassen Sie sich auf die Korrekturausführungen für die endgültige Validierung.
  6. Aktivieren Sie die Option Vollständigkeit der Anreicherung sicherstellen.
    • Erwarteter Fehler: Benachrichtigungen werden möglicherweise deutlich später als der Zeitstempel des Ereignisses angezeigt.
    • Korrektiver Schritt: Verwenden Sie diese Option nur für nicht kritische Compliance-Regeln, bei denen die Genauigkeit wichtiger als die Geschwindigkeit ist.
  7. Sehen Sie sich die Vorschau des Regelzeitplans an, um den Zeitplan für die Ausführung zu verstehen:
    • Erste Ausführung (𝑇 + Offset) : Das System führt die Regellogik nach der Verzögerung aus, die Sie für verspätet eingehende Daten angeben.
    • Korrekturausführung 1 (𝑇 + 4 Stunden) : Das System scannt das Fenster 4 Stunden nach der ersten Ausführung noch einmal, um fehlende oder verspätete Daten zu erfassen. Wenn Sie die Option Vollständigkeit der Anreicherung sicherstellen aktivieren, wartet diese Ausführung auch, bis alle zugehörigen Anreicherungsdaten verarbeitet wurden.
    • Korrekturausführung 2 (𝑇 + 30 Stunden) : Diese Ausführung wird nur angezeigt, wenn Sie die Option Vollständigkeit der Anreicherung sicherstellen aktivieren. Das System führt 30 Stunden nach der ersten Ausführung einen letzten Scan durch, um eine maximale Datentreue zu gewährleisten.
  8. Klicken Sie auf Speichern.

Vorschau des Zeitplans

In der Vorschau des Zeitplans werden die spezifischen Meilensteine für Ihre Erkennungslogik angezeigt. Verwenden Sie diese Hintergrundausführungen, um die durchschnittliche Zeit bis zur Erkennung (Mean Time to Detection, MTTD) genau zu messen und die Integrität von Benachrichtigungen zu prüfen.

  • Erste Ausführung (𝑇 + Offset): Bedrohungen werden so schnell wie möglich erkannt. Da einige Daten möglicherweise noch übertragen oder angereichert werden, können Erkennungen bei der ersten Ausführung später als erwartet eintreffen.

  • Korrekturausführungen: Das Zeitfenster wird proaktiv neu bewertet. Mit diesen Ausführungen kann die Plattform Folgendes erfassen:

    • Verspätet eingehende Logs: Daten, die nach Abschluss der ersten Ausführung auf der Plattform eingegangen sind.
    • Anreicherungskontext: Metadaten wie Asset-IDs oder Nutzer-Aliasse, die eine zusätzliche Hintergrundverarbeitung erforderten.

Erkennungsquellen identifizieren

Google SecOps verwendet visuelle Indikatoren, um zwischen ersten Erkennungen und solchen zu unterscheiden, die bei erneuten Hintergrundausführungen gefunden wurden.

Erkennungsindikatoren

In der Spalte Erkennungstyp kennzeichnet die Erkennungen aus Korrekturausführungen, Neuverarbeitungen oder RetroHunts.

  • Wenn dieses Symbol angezeigt wird, ist die Erkennung bei einer Korrekturausführung (𝑇+4$ oder 𝑇+30$) und nicht bei der ersten Ausführung (𝑇) aufgetreten.
  • Erkennungen mit diesem Symbol deuten oft darauf hin, dass die Plattform die Bedrohung nach der ersten Aufnahme erfasst hat, in der Regel aufgrund von verspätet eingehenden Logs oder Verzögerungen bei der Anreicherung.

Integrität von Benachrichtigungen auf der Seite „Benachrichtigungen“ prüfen

Auf der Seite Benachrichtigungen gibt das die Quelle der Benachrichtigung an. Verwenden Sie diesen Indikator, um die Quelle einer Benachrichtigung zu prüfen, wenn Sie eine Zeitachse untersuchen.

Fehlerbehebung

Untersuchen Sie Zeitplanprobleme, indem Sie den Zeitpunkt der Bewertung und die Regelkonfiguration prüfen. Die meisten Zeitplanaufgaben werden von der Plattform automatisiert. Bestimmte Einstellungen oder Datenverzögerungen können jedoch Auswirkungen darauf haben, wann Erkennungen angezeigt werden.

Erkennungen werden nur bei Korrekturausführungen angezeigt

Wenn eine Erkennung bei der ersten Ausführung (𝑇) nicht angezeigt wird, aber bei einer Korrekturausführung (𝑇+4$ oder 𝑇+30$), prüfen Sie Folgendes:

  • Latenz bei der Datenaufnahme: Prüfen Sie, ob die Protokollquelle eine Verzögerung aufweist. Wenn Logs 15 Minuten nach dem Ereignis eintreffen, werden sie bei einem Zeitplan für die erste Ausführung von 10 Minuten nicht berücksichtigt. Die Korrekturausführungen erfassen diese verspäteten Daten.
  • Kontextanreicherung:Prüfen Sie, ob die Regel auf externen Metadaten wie Asset-Tags oder Nutzer-Aliasse basiert. Wenn der Anreicherungsprozess länger als das Fenster für die erste Ausführung dauert, wird die Erkennung erst angezeigt, nachdem das System die Anreicherung bei einer späteren Ausführung abgeschlossen hat.

Anpassbare Optionen fehlen

Wenn auf dem Tab Regelzeitplan keine Anpassungsoptionen angezeigt werden oder das Menü ausgegraut ist:

  • Regeltyp prüfen:Anpassbare Zeitpläne gelten nur für Regeln für mehrere Ereignisse. Regeln für einzelne Ereignisse verwenden die kontinuierliche (Echtzeit-)Engine und unterstützen keine benutzerdefinierten Zeitpläne.
  • `match`-Fenster prüfen:Für Regeln mit einem `match`-Fenster von mehr als 48 Stunden ist die Ausführungshäufigkeit auf Täglich beschränkt und sie können nicht angepasst werden.
  • Ausgewählte Regeln identifizieren:Sie können den Zeitplan für ausgewählte Regeln nicht ändern. Suchen Sie nach der Meldung Curated rules uses a legacy schedule, um zu prüfen, ob es sich bei der Regel um eine geschützte Systemregel handelt.

Unerwartete Verzögerung bei Benachrichtigungen für die erste Ausführung

Wenn eine Erkennung später als im Zeitplan angegeben eintrifft:

  • Initialisierungszeitraum:Für neue oder kürzlich geänderte Regeln ist ein Initialisierungszeitraum von einer Stunde erforderlich. Erkennungen werden erst angezeigt, wenn die Plattform diese erste Einrichtung abgeschlossen hat und der erste geplante Zyklus beginnt.
  • Wartezeiten für die Anreicherung:Wenn Sie die Option Vollständigkeit der Anreicherung sicherstellen aktivieren, kann das System den Zeitpunkt dynamisch anpassen, um auf den Abschluss der Datenanreicherungsprozesse zu warten. Dieser Prozess verhindert zwar, dass Erkennungen verpasst werden, kann aber dazu führen, dass die erste Erkennung später als der genaue Zeitstempel 𝑇 eintrifft.

MTTD-Messungen scheinen hoch zu sein

Die MTTD-Messungen umfassen den Pufferzeitraum, der für die Vollständigkeit der Daten erforderlich ist.

  • Puffer prüfen: Bei einem Zeitplan von einer Stunde bewertet das System Ereignisse ein bis zwei Stunden nach ihrem Eintreffen.
  • Für Geschwindigkeit optimieren: Wenn Sie eine geringere Latenz benötigen, migrieren Sie die Regel zu einem Echtzeit-Zeitplan. Hinweis: Dadurch kann sich die Anzahl der Erkennungen erhöhen, bei denen Korrekturausführungen für die vollständige Genauigkeit erforderlich sind.

Beschränkungen

  • Nur Regeln für mehrere Ereignisse: Diese Funktion ist für Regeln für einzelne Ereignisse nicht verfügbar.
  • Nur benutzerdefinierte Regeln: Ausgewählte Regeln verwenden feste Zeitpläne, die Sie nicht ändern können. Wenn Sie eine ausgewählte Regel aufrufen, wird die Meldung Curated rules use a legacy schedule angezeigt.

Fehlerbehebung

Fehler Problem Korrektur
Fehlende Optionen Der Tab „Regelzeitplan“ ist ausgegraut oder Optionen fehlen. Prüfen Sie, ob es sich bei der Regel um eine benutzerdefinierte Regel für mehrere Ereignisse handelt und das Fenster für den Abgleich weniger als 48 Stunden beträgt.
Verzögerte Benachrichtigungen Erkennungen treffen später als im Zeitplan angegeben ein. Prüfen Sie, ob die Option Vollständigkeit der Anreicherung sicherstellen aktiviert ist. Das System wartet möglicherweise auf die Verarbeitung von Metadaten.
Nur Benachrichtigungen für Korrekturausführungen Erkennungen werden bei der ersten Ausführung (𝑇) nie angezeigt. Klicken Sie auf Aufnahmeverzögerung , um dies zu prüfen. Wenn Logs 15 Minuten zu spät eintreffen, Ihr Offset aber 10 Minuten beträgt, erhöhen Sie den Offset für die erste Ausführung.

Überprüfung und Tests

So prüfen Sie, ob Ihr Zeitplan wie vorgesehen funktioniert:

  1. Rufen Sie das Rules Dashboard auf.
  2. Wählen Sie die Regel aus und rufen Sie den Tab Erkennungen auf.
  3. Filtern Sie nach , um zu sehen, ob Ihre Korrekturausführungen Daten erfassen, die bei der ersten Ausführung ausgelassen wurden. Passen Sie dann Ihre Offsets entsprechend an.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten