為規則設定自訂時間表
本文適用於想設定多事件規則自訂時間表並排解相關問題的平台管理員和 SOC 分析師。本文說明如何設定處理時間表，以及執行額外檢查來納入延遲抵達的資料。
按照本文所述程序操作，即可精確控制偵測延遲時間和資料完整性。成功完成這項作業可確保偵測結果及時且準確，減少因擷取延遲而造成的誤判，並確保資安營運一致性。
自訂時間表可讓您清楚瞭解並控管 Google Security Operations 中多事件規則的執行方式。部分多事件規則可能需要緩衝期才能準確匯總資料，您可以透過這個方法定義緩衝期，不必依賴系統預設值。
如要搭配本文使用，請瞭解如何管理規則執行排程。
重要術語
- 首次執行 (𝑇 + 偏移)：首次執行規則邏輯。這個偏移量代表為考量延遲抵達的資料而新增的延遲時間。
- 調整執行作業：在背景重新評估相同時間範圍，擷取首次執行作業後送達的記錄或補充資料。
- 擴充：在處理期間新增至記錄的外部中繼資料 (例如資產標記或使用者別名)。
事前準備
嘗試修改或自動執行規則時間表之前，請先確認您的環境和帳戶符合必要的安全性與系統需求。驗證這些必要條件有助於避免部署錯誤，並確保偵測邏輯符合貴機構的身分與存取權管理政策。
權限：如要修改規則時間表，您必須具備下列 IAM 權限：
chronicle.ruleDeployments.update，瞭解個別行程更新的 API 用量。chronicle.rules.modifyRules，用於批次 API 更新和 UI 使用。
如果您使用預先定義的 IAM 角色，例如 Chronicle API 管理員 (
roles/chronicle.admin) 或 Chronicle API 編輯者 (roles/chronicle.editor)，系統會自動納入這些權限。環境檢查：
- 規則類型：自訂排程僅適用於多事件規則。不包括單一事件和精選規則。
match視窗：如果規則的match視窗超過 48 小時，執行頻率只能設為「每日」。- 遷移：將舊版時間表遷移至可自訂的時間表是單向程序，無法復原。
設定多事件規則的排程
如要設定多事件規則的排程，請按照下列步驟操作：
- 在 Google SecOps 中，依序前往「偵測」>「規則與偵測項目」。
- 按一下「規則資訊主頁」。
- 找出規則，然後依序點選「更多」more_vert「執行時間表」。
- 在「規則排程」分頁中，選取「首次執行排程」欄位的值，並選取規則的執行頻率。
- 開啟「調整首次執行作業，以便處理延遲送達的資料」切換鈕。
- 預期會失敗：如果偏移量短於來源的實際擷取延遲時間，第一次執行作業可能仍會遺漏記錄。
- 修正步驟：增加偏移量，或依賴 True-up 執行來進行最終驗證。
- 開啟「確保完整補充資料」切換鈕。
- 預期失敗：快訊顯示時間可能比事件時間戳記晚很多。
- 修正步驟：僅適用於非關鍵的法規遵循規則，且準確度比速度更重要。
- 查看「規則排程預覽」，瞭解執行時間軸：
- 首次執行 (𝑇 + 偏移)：系統會在您為延遲送達的資料指定延遲時間後，執行規則邏輯。
- 調整執行作業 1 (𝑇 + 4 小時)：系統會在首次執行作業後 4 小時重新掃描時間範圍，擷取遺漏或延遲的資料。如果開啟「確保擴充資料完整性」切換鈕，系統也會等待處理所有相關聯的擴充資料。
- 第 2 次補償執行 (T + 30 小時)：只有在開啟「確保資料豐富度完整」切換按鈕時，系統才會顯示這項執行作業。系統會在第一次執行後 30 小時進行最後一次掃描，盡可能提供準確的資料。
- 按一下 [儲存]。
瞭解時間表預覽畫面
排程預覽畫面會顯示偵測邏輯的特定里程碑。您可以使用這些背景執行作業，準確評估偵測平均時間 (MTTD) 並驗證快訊完整性。
- 首次執行 (𝑇 + 偏移)：盡快找出威脅。由於部分資料可能仍在傳輸或進行擴充，第一次執行的偵測結果可能會比預期晚到。
調整執行：主動重新評估時間範圍。平台可透過這些執行作業擷取下列資訊：
- 延遲送達的記錄：首次執行作業完成後才送達平台的資料。
- 擴充內容：需要額外背景處理的中繼資料，例如資產 ID 或使用者別名。
找出偵測來源
Google SecOps 會使用視覺指標，協助您區分初始偵測結果和背景重新執行期間顯示的結果。
偵測指標
在「偵測類型」欄中， 會標示來自補償執行、重新處理執行或回溯搜尋的偵測結果。
- 如果看到這個圖示，表示偵測是在修正執行 (
𝑇+4$或𝑇+30$) 期間發生，而非在初始執行 (𝑇) 期間。 - 如果偵測結果顯示這個圖示，通常表示平台在初始擷取後才偵測到威脅，通常是因為記錄檔延遲抵達或擴充延遲。
在快訊頁面驗證快訊完整性
在「快訊」頁面中， 表示快訊來源。調查時間軸時，請使用這項指標驗證快訊來源。
疑難排解
查看評估時間和規則設定，調查排程問題。雖然平台會自動執行大部分的排程工作，但某些設定或資料延遲可能會影響偵測結果的顯示時間。
偵測結果只會顯示在修正執行中
如果第一次執行 (𝑇) 時未偵測到，但在修正執行 (𝑇+4$ 或 𝑇+30$) 時偵測到，請檢查下列事項：
- 擷取延遲時間：檢查記錄來源是否延遲。如果記錄在事件發生後 15 分鐘才送達，10 分鐘的首次執行排程就會錯過這些記錄。調整執行作業會擷取這些延遲送達的資料。
- 情境擴充：確認規則是否依據外部中繼資料 (例如資產標記或使用者別名)。如果增補程序耗時超過首次執行視窗，系統會在後續執行增補程序後，才顯示偵測結果。
找不到自訂選項
如果「規則時間表」分頁未顯示自訂選項，或選單顯示為灰色，請按照下列步驟操作：
- 檢查規則類型：自訂時間表僅適用於多重事件規則。單一事件規則使用持續 (即時) 引擎，且不支援自訂排程。
- 確認
match視窗：如果規則的match視窗超過 48 小時，執行頻率會限制為「每日」，且無法自訂。 - 找出精選規則：您無法修改精選規則的發布時程。尋找
Curated rules uses a legacy schedule訊息，確認規則是否為受保護的系統規則。
首次執行警報延遲
如果偵測結果在排定的間隔時間後才送達：
- 初始化期間：新規則或近期修改的規則需要一小時的初始化期間。平台完成初始設定並開始第一個排定的週期後，才會顯示偵測結果。
- 擴充等待時間：如果開啟「確保擴充完整性」切換鈕，系統可能會動態調整時間，等待資料擴充程序完成。雖然這個程序可避免遺漏偵測結果，但可能會導致初始偵測結果的抵達時間晚於確切的
𝑇時間戳記。
MTTD 測量值似乎偏高
MTTD 測量結果包含資料完整性所需的緩衝期。
- 檢查緩衝區：如果是 1 小時的行程表，系統會在活動開始後 1 到 2 小時評估活動。
- 提高速度：如要縮短延遲時間，請將規則改為即時排程。注意：這可能會增加偵測次數，但需要執行補償作業才能確保準確度。
限制
- 僅限多重事件規則：這項功能不適用於單一事件規則。
- 僅限自訂規則：精選規則使用固定時間表，無法修改。如果查看精選規則，系統會顯示以下訊息：
Curated rules use a legacy schedule。
錯誤修正
| 錯誤 | 問題 | 修正 |
|---|---|---|
| 缺少選項 | 「規則時間表」分頁顯示為灰色，或缺少選項。 | 確認規則是多事件自訂規則，且比對時間範圍在 48 小時內。 |
| 延遲快訊 | 偵測結果晚於排定的時間間隔送達。 | 檢查「確保完整補充資料」切換鈕是否開啟，系統可能正在等待處理中繼資料。 |
| 僅限調整快訊 | 偵測結果不會在第一次執行 (𝑇) 時顯示。 |
按一下「擷取延遲時間」進行驗證。如果記錄延遲 15 分鐘抵達，但你的偏移時間為 10 分鐘，請增加首次執行偏移時間。 |
驗證和測試
如要確認排程是否正常運作，請按照下列步驟操作：
- 前往「規則資訊主頁」。
- 選取規則，然後查看「偵測結果」分頁標籤。
- 使用 篩選，查看 True-up 執行是否擷取到第一次執行時遺漏的資料，然後據此調整偏移。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。