Zeitstempeldefinitionen

Unterstützt in:

In diesem Dokument werden gängige Zeitstempel für Ereignisse und Erkennungen erläutert. Weitere Informationen zu Zeitstempeln finden Sie unter Datumsfunktion.

Die folgenden Zeitstempel beziehen sich auf Ereignisse:

  • Zeitstempel des Ereignisses: Zeitpunkt, zu dem ein Ereignis aufgetreten ist. Er wird im metadata.event_timestamp UDM-Feld gespeichert. Regeln und UDM-Suchanfragen verwenden das Feld metadata.event_timestamp für Abfragen.
  • Zeitstempel der Erfassung: Zeitpunkt, zu dem ein Ereignis von der lokalen Erfassungsinfrastruktur, z. B. dem Weiterleitungsdienst, erfasst und an Google Security Operations gesendet wurde. Dieser Zeitpunkt wird im UDM-Feld metadata.collected_timestamp gespeichert. Verzögerungen bei der Erfassung und Übertragung zwischen lokalen Erfassungspunkten und Google Security Operations wirken sich auf den Zeitpunkt aus, zu dem Logs eingehen, stellen aber keine Latenz bei der Aufnahme dar.
  • Zeitstempel der Aufnahme: Zeitpunkt, zu dem ein Ereignis von Google Security Operations empfangen und aufgenommen wurde. Dieser Zeitpunkt wird im UDM-Feld metadata.ingested_timestamp gespeichert. Auch wenn ein Log aufgrund von Verzögerungen bei der Weiterleitung oder Netzwerkübertragung Stunden nach dem metadata.event_timestamp oder metadata.collected_timestamp eingeht, wird es von Google Security Operations in der Regel kurz nach dem Eintreffen aufgenommen und indexiert.

Zeitstempel für Indexierung und Datenverfügbarkeit

Neben den Zeitstempeln für Ereignisse, Erfassung und Aufnahme ist es wichtig zu wissen, wann Daten in Google Security Operations vollständig durchsuchbar und nutzbar sind. Dazu gehört der Indexierungsprozess, durch den aufgenommene Logs und UDM-Ereignisse für verschiedene Analyse- und Erkennungsfunktionen verfügbar gemacht werden.

Im folgenden Abschnitt wird die Datenverfügbarkeit im Zusammenhang mit dem Indexierungsprozess beschrieben:

  • Verfügbarkeit der Rohlogsuche:Rohlogs sind sehr schnell nach der Aufnahme für die Suche mit der Funktion „Rohlogsuche“ verfügbar. Bei dieser Suchmethode wird der ursprüngliche, nicht geparste Logtext direkt nach Ihrer Abfrage durchsucht. Die erwartete Verfügbarkeit für die Rohlogsuche liegt oft innerhalb von Sekunden bis wenigen Minuten, nachdem das Log am Aufnahmepunkt von Google SecOps eingegangen ist.

  • Verfügbarkeit der UDM-Suche:Nachdem Rohlogs aufgenommen wurden, werden sie geparst und normalisiert, um in UDM-Ereignisse (Unified Data Model) umgewandelt zu werden. Anschließend werden diese UDM-Ereignisse indexiert. Die indexierten UDM-Daten sind für eine UDM-Suche erforderlich und stehen in der Regel innerhalb von 2 bis 15 Minuten nach der ersten Aufnahme für Abfragen zur Verfügung. Eine genauere durchschnittliche Zeit liegt bei etwa 5 Minuten ab dem Zeitpunkt, zu dem Daten an den Aufnahmedienst von Google SecOps gesendet werden.

  • Verfügbarkeit von Erkennungsregeln:UDM-Ereignisse werden von der Detection Engine verwendet. Damit Echtzeit- und geplante Regeln mit neuen Daten verglichen werden können, müssen die UDM-Ereignisse geparst, normalisiert und indexiert werden. Die Regelausführung erfolgt in der Regel innerhalb von 5 bis 10 Minuten, nachdem das Ereignis am Aufnahmepunkt von Google SecOps eingegangen ist. Das hängt vom Regeltyp und der Planung ab.

Verzögerungen erkennen

Bei der Diagnose der wahrgenommenen Latenz müssen Sie zwischen Erfassungs- und Aufnahmelatenz unterscheiden:

  • Erfassungslatenz (Übertragungsverzögerung) : Vergleichen Sie metadata.event_timestamp oder metadata.collected_timestamp mit metadata.ingested_timestamp. Eine große Lücke deutet auf Verzögerungen in der lokalen Protokollquelle, im Forwarder oder im Netzwerkpfad hin, bevor Google SecOps erreicht wird.
  • Latenz bei Aufnahme und Indexierung:Beobachten Sie die Zeitdifferenz zwischen metadata.ingested_timestamp (Zeitpunkt, zu dem Google SecOps das Ereignis empfangen hat) und dem Zeitpunkt, zu dem das Ereignis mit der UDM-Suche abgefragt oder für die Regelausführung verwendet werden kann.

Bestimmte Zeitstempel für den Abschluss der Indexierung werden zwar nicht direkt als UDM-Felder angezeigt, die dokumentierten Verfügbarkeitszeiten für die UDM-Suche und die Detection Engine geben jedoch einen Hinweis auf die Latenz bei der Indexierung. Erhebliche Abweichungen vom erwarteten Zeitraum von 2 bis 15 Minuten nach metadata.ingested_timestamp können auf Verarbeitungsverzögerungen hindeuten.

Die folgenden Zeitstempel werden mit Erkennungen gespeichert:

  • Erkennungszeitfenster: Für Regeln mit einem match Abschnitt, wird im Zeitraum, der als das Erkennungszeitfenster bezeichnet wird, eine Erkennung erstellt. Die Zeitstempel der Ereignisse, die die Erkennung ausgelöst haben, liegen innerhalb des Erkennungszeitfensters.
  • Zeitstempel der Erkennung: Für Regeln mit einem match-Abschnitt ist der Zeitstempel der Erkennung die Endzeit des Erkennungszeitfensters. Andernfalls ist der Zeitstempel der Erkennung der metadata.event_timestamp des Ereignisses, das die Erkennung generiert hat.
  • Zeitstempel der Erstellung der Erkennung: Datum und Uhrzeit, zu der die Erkennung von der Detection Engine erstellt wurde.

Wo Zeitstempel in der Anwendung angezeigt werden

In den folgenden Abschnitten wird definiert, wo Sie diese Zeitstempel in der Benutzeroberfläche sehen können.

UDM-Ereignisanzeige

So öffnen Sie die Ansicht UDM-Ereignis:

  1. Führen Sie eine UDM-Suche durch.
  2. Wählen Sie auf dem Tab Ereignisse ein Ereignis aus, um die Ereignisanzeige zu öffnen.

  3. Im Bereich UDM-Ereignis werden die folgenden Daten angezeigt:

    • Der Zeitstempel des Ereignisses wird im UDM-Feld metadata.event_timestamp (1) gespeichert.
    • Der Zeitstempel der Aufnahme wird im UDM-Feld metadata.ingested_timestamp (2) gespeichert.

    UDM-Ereignisansicht

Bereich „Erkennungen“

So öffnen Sie die Ansicht Erkennungen:

  1. Öffnen Sie Erkennungen > Regeln und Erkennungen und klicken Sie dann auf die Schaltfläche Dashboard.

  2. Klicken Sie in der Spalte Regelname auf den Link zum Regelnamen. Der Bereich Erkennungen wird geöffnet und zeigt Folgendes an:

    • Der Zeitstempel der Erkennung wird in Zeilen angezeigt, die eine Erkennung identifizieren (1).
    • Der Zeitstempel des Ereignisses wird in Zeilen angezeigt, die Ereignisse identifizieren (2).

    Ansicht „Erkennungen“

Benachrichtigungsansicht

So öffnen Sie die Ansicht Benachrichtigung:

  1. Öffnen Sie Erkennungen > Benachrichtigungen und IOCs.
  2. Klicken Sie auf dem Tab Benachrichtigungen in der Spalte Name auf den Link zum Benachrichtigungsnamen.

  3. Klicken Sie auf den Tab Übersicht , um Folgendes anzuzeigen:

    • Der Zeitstempel der Erstellung der Benachrichtigung (oder Erkennung) wird im Bereich Benachrichtigungsdetails > Feld Erstellt (1) angezeigt.
    • Das Erkennungszeitfenster wird im Bereich Zusammenfassung der Erkennung > Feld Erkennungszeitfenster (2) angezeigt.
    • Der Zeitstempel der Erkennung wird im Bereich Zusammenfassung der Erkennung > Feld Benachrichtigungen erkannt am (3) angezeigt.

    Benachrichtigungsansicht

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten