Zeitstempeldefinitionen

Unterstützt in:

In diesem Dokument werden gängige Zeitstempel für Ereignisse und Erkennungen erläutert. Weitere Informationen zu Zeitstempeln finden Sie unter Datumsfunktion.

Die folgenden Zeitstempel beziehen sich auf Ereignisse:

  • Zeitstempel des Ereignisses: Zeitpunkt, zu dem ein Ereignis aufgetreten ist und im UDM-Feld metadata.event_timestamp gespeichert wird. Regeln und UDM-Suchen verwenden das Feld metadata.event_timestamp für Abfragen.
  • Zeitstempel für Erfassung: Zeitpunkt, zu dem ein Ereignis von der lokalen Erfassungsinfrastruktur, z. B. dem Spediteur, erfasst und die Übertragung zu Google Security Operations gestartet wurde. Dieser Wert wird im UDM-Feld metadata.collected_timestamp gespeichert. Verzögerungen bei der Erfassung und beim Transport zwischen lokalen Erfassungstools und Google Security Operations wirken sich darauf aus, wann Logs eingehen, stellen aber keine Erfassungsverzögerung dar.
  • Zeitstempel für die Aufnahme: Zeitpunkt, zu dem ein Ereignis von Google Security Operations empfangen und aufgenommen wurde. Diese wird im metadata.ingested_timestamp-UDM-Feld gespeichert. Selbst wenn ein Log aufgrund von Weiterleitungs- oder Netzwerkübertragungsverzögerungen Stunden nach dem metadata.event_timestamp oder metadata.collected_timestamp eintrifft, wird es von Google Security Operations in der Regel kurz nach dem Eintreffen aufgenommen und indexiert.

Zeitstempel für Indexierung und Datenverfügbarkeit

Neben den Zeitstempeln für Ereignisse, Erfassung und Aufnahme ist es wichtig zu wissen, wann Daten in Google Security Operations vollständig durchsuchbar und nutzbar sind. Dazu gehört der Indexierungsprozess, durch den aufgenommene Logs und UDM-Ereignisse für verschiedene Analyse- und Erkennungsfunktionen verfügbar gemacht werden.

Im folgenden Abschnitt wird die Datenverfügbarkeit im Zusammenhang mit dem Indexierungsprozess beschrieben:

  • Verfügbarkeit der Rohlog-Suche:Rohlogs sind sehr schnell nach der Aufnahme für die Suche mit der Rohlog-Suchfunktion verfügbar. Bei dieser Suchmethode wird der ursprüngliche, nicht geparste Logtext direkt nach Ihrer Anfrage durchsucht. Die erwartete Verfügbarkeit für die Suche in Rohlogs liegt oft innerhalb von Sekunden bis wenigen Minuten nach dem Eintreffen des Logs am Google SecOps-Aufnahmepunkt.

  • Verfügbarkeit der UDM-Suche:Nachdem Rohlogs erfasst wurden, werden sie geparst und normalisiert, um in UDM-Ereignisse (Unified Data Model) umgewandelt zu werden. Anschließend werden diese UDM-Ereignisse indexiert. Die indexierten UDM-Daten sind für eine UDM-Suche erforderlich und stehen in der Regel innerhalb von 2 bis 15 Minuten nach der ersten Aufnahme für Abfragen zur Verfügung. Die durchschnittliche Zeit beträgt etwa 5 Minuten ab dem Zeitpunkt, an dem Daten an den Google SecOps-Aufnahmedienst gesendet werden.

  • Verfügbarkeit von Erkennungsregeln:UDM-Ereignisse werden von der Detection Engine verwendet. Damit Echtzeit- und geplante Regeln anhand neuer Daten ausgewertet werden können, müssen die UDM-Ereignisse geparst, normalisiert und indexiert werden. Die Ausführung von Regeln erfolgt in der Regel innerhalb von 5 bis 10 Minuten nach dem Eintreffen des Ereignisses am Google SecOps-Aufnahmepunkt, je nach Regeltyp und Zeitplanung.

Verzögerungen erkennen:

Unterscheiden Sie bei der Diagnose der wahrgenommenen Latenz zwischen Erfassungs- und Aufnahme-Latenz:

  • Erfassungsverzögerung (Transportverzögerung): Vergleichen Sie metadata.event_timestamp oder metadata.collected_timestamp mit metadata.ingested_timestamp. Eine große Lücke weist auf Verzögerungen in der lokalen Protokollquelle, im Forwarder oder im Netzwerkpfad hin, bevor die Daten Google SecOps erreichen.
  • Latenz bei der Aufnahme und Indexierung:Beobachten Sie die Zeitdifferenz zwischen metadata.ingested_timestamp (dem Zeitpunkt, zu dem Google SecOps das Ereignis empfangen hat) und dem Zeitpunkt, zu dem das Ereignis über die UDM-Suche abgefragt oder für die Regelausführung verwendet werden kann.

Bestimmte Zeitstempel für den Abschluss der Indexierung werden zwar nicht direkt als UDM-Felder verfügbar gemacht, die dokumentierten Verfügbarkeitszeiten für UDM Search und Detection Engine geben jedoch einen Hinweis auf die Indexierungs-Latenz. Erhebliche Abweichungen vom erwarteten Zeitraum von 2 bis 15 Minuten nach metadata.ingested_timestamp können auf Verzögerungen bei der Verarbeitung hinweisen.

Die folgenden Zeitstempel werden mit erkannten Ereignissen gespeichert:

  • Erkennungszeitraum: Für Regeln mit einem match-Abschnitt wird über den Zeitraum hinweg eine Erkennung erstellt, die als Erkennungszeitraum bezeichnet wird. Die Zeitstempel der Ereignisse, die die Erkennung ausgelöst haben, liegen innerhalb des Erkennungszeitfensters.
  • Zeitstempel der Erkennung: Bei Regeln mit dem Abschnitt match ist der Zeitstempel der Erkennung die Endzeit des Erkennungszeitfensters. Andernfalls ist der Zeitstempel für die Erkennung der metadata.event_timestamp des Ereignisses, das die Erkennung ausgelöst hat.
  • Zeitstempel der Erstellung der Erkennung: Datum und Uhrzeit, zu der die Erkennung vom Erkennungssystem erstellt wurde.

Wo werden Zeitstempel in der Anwendung angezeigt?

In den folgenden Abschnitten wird beschrieben, wo Sie diese Zeitstempel in der Benutzeroberfläche sehen können.

UDM-Ereignisbetrachter

So öffnen Sie die Ansicht UDM-Ereignis:

  1. Führen Sie eine UDM-Suche aus.
  2. Wählen Sie auf dem Tab Ereignisse ein Ereignis aus, um die Ereignisanzeige zu öffnen.

  3. Im Bereich UDM-Ereignis werden die folgenden Daten angezeigt:

    • Der Zeitstempel des Ereignisses wird im UDM-Feld metadata.event_timestamp (1) gespeichert.
    • Der aufgenommene Zeitstempel wird im UDM-Feld metadata.ingested_timestamp (2) gespeichert.

    UDM-Ereignisansicht

Bereich „Erkennungen“

So öffnen Sie die Ansicht Erkennungen:

  1. Öffnen Sie Erkennungen > Regeln und Erkennungen und klicken Sie dann auf die Schaltfläche Dashboard.

  2. Klicken Sie in der Spalte Regelname auf den Link mit dem Regelnamen. Der Bereich Erkennungen wird angezeigt und enthält Folgendes:

    • Der Zeitstempel für die Erkennung wird in Zeilen angezeigt, in denen eine Erkennung identifiziert wird (1).
    • Der Zeitstempel des Ereignisses wird in Zeilen angezeigt, in denen Ereignisse identifiziert werden (2).

    Ansicht „Erkennungen“

Benachrichtigungsansicht

So öffnen Sie die Ansicht Benachrichtigung:

  1. Öffnen Sie Erkennungen > Benachrichtigungen und IOCs.
  2. Klicken Sie auf dem Tab Benachrichtigungen in der Spalte Name auf den Link zum Namen der Benachrichtigung.

  3. Klicken Sie auf den Tab Übersicht, um Folgendes aufzurufen:

    • Der Zeitstempel für die erstellte Benachrichtigung (oder Erkennung) wird im Bereich Benachrichtigungsdetails > Feld Erstellt (1) angezeigt.
    • Das Erkennungszeitfenster wird im Bereich Zusammenfassung der Erkennung > Feld Erkennungszeitfenster (2) angezeigt.
    • Der Zeitstempel der Erkennung wird im Bereich Zusammenfassung der Erkennung > Feld Erkannte Benachrichtigungen um (3) angezeigt.

    Benachrichtigungsansicht

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten