Définitions des codes temporels

Compatible avec :

Ce document explique les codes temporels courants pour les événements et les détections. Pour en savoir plus sur les codes temporels, consultez Fonction de date.

Les codes temporels suivants sont associés à des événements :

  • Code temporel de l'événement : heure à laquelle un événement s'est produit et est stocké dans le champ UDM metadata.event_timestamp. Les règles et les recherches UDM utilisent le champ metadata.event_timestamp pour les requêtes.
  • Heure de collecte : heure à laquelle un événement a été collecté par l'infrastructure de collecte locale, telle que le transitaire, et a commencé à être transféré vers Google Security Operations. Cette valeur est stockée dans le champ UDM metadata.collected_timestamp. Les retards de collecte et de transport entre les collecteurs locaux et Google Security Operations affectent le moment où les journaux arrivent, mais ne représentent pas la latence d'ingestion.
  • Code temporel d'ingestion : heure à laquelle un événement a été reçu et ingéré par Google Security Operations. Cette valeur est stockée dans le champ UDM metadata.ingested_timestamp. Même si un journal arrive des heures après son metadata.event_timestamp ou son metadata.collected_timestamp en raison de retards de transfert ou de transit réseau, Google Security Operations l'ingère et l'indexe généralement peu de temps après son arrivée.

Horodatages de l'indexation et de la disponibilité des données

En plus des codes temporels des événements, des collectes et des ingestions, il est essentiel de comprendre quand les données deviennent entièrement consultables et utilisables dans Google Security Operations. Cela implique le processus d'indexation, qui rend les journaux ingérés et les événements UDM disponibles pour diverses fonctionnalités d'analyse et de détection.

La section suivante décrit la disponibilité des données par rapport au processus d'indexation :

  • Disponibilité de la recherche dans les journaux bruts : les journaux bruts sont disponibles pour la recherche à l'aide de la fonctionnalité de recherche dans les journaux bruts très rapidement après l'ingestion. Cette méthode de recherche analyse directement le texte du journal d'origine non analysé pour trouver votre requête. La disponibilité attendue pour la recherche de journaux bruts est souvent de quelques secondes à quelques minutes après l'arrivée du journal au point d'ingestion Google SecOps.

  • Disponibilité de la recherche UDM : une fois les journaux bruts ingérés, ils sont analysés et normalisés pour être convertis en événements UDM (Unified Data Model). Ces événements UDM sont ensuite indexés. Les données UDM indexées sont nécessaires pour une recherche UDM et sont généralement disponibles pour les requêtes entre 2 et 15 minutes après l'ingestion initiale. Le délai moyen plus précis est d'environ cinq minutes à partir du moment où les données sont envoyées au service d'ingestion Google SecOps.

  • Disponibilité des règles de détection : les événements UDM sont utilisés par le moteur de détection. Pour que les règles en temps réel et planifiées puissent être évaluées par rapport aux nouvelles données, les événements UDM doivent être analysés, normalisés et indexés. L'exécution des règles a généralement lieu dans les 5 à 10 minutes suivant l'arrivée de l'événement au point d'ingestion Google SecOps, en fonction du type de règle et de la planification.

Détection des retards :

Lorsque vous diagnostiquez une latence perçue, faites la distinction entre la latence de collecte et la latence d'ingestion :

  • Latence de collecte (délai de transport) : comparez metadata.event_timestamp ou metadata.collected_timestamp à metadata.ingested_timestamp. Un grand écart indique des retards dans la source du journal locale, le redirecteur ou le chemin réseau avant d'atteindre Google SecOps.
  • Latence d'ingestion et d'indexation : surveillez la différence de temps entre metadata.ingested_timestamp (date à laquelle Google SecOps a reçu l'événement) et le moment où l'événement peut être interrogé à l'aide de la recherche UDM ou est disponible pour l'exécution de règles.

Bien que les codes temporels d'indexation ne soient pas directement exposés en tant que champs UDM, les délais de disponibilité documentés pour le moteur de recherche et de détection UDM fournissent une indication de la latence d'indexation. Des écarts importants par rapport à la période de 2 à 15 minutes attendue après metadata.ingested_timestamp peuvent indiquer des retards de traitement.

Les codes temporels suivants sont stockés avec les détections :

  • Période de détection : pour les règles comportant une section match, une détection est créée sur la période, appelée période de détection. Les codes temporels des événements qui ont déclenché la détection se trouvent dans la période de détection.
  • Code temporel de la détection : pour les règles comportant une section match, le code temporel de la détection correspond à l'heure de fin de la période de détection. Sinon, le code temporel de la détection correspond à metadata.event_timestamp de l'événement qui a généré la détection.
  • Code temporel de création de la détection : date et heure de création de la détection par le moteur de détection.

Où les codes temporels apparaissent-ils dans l'application ?

Les sections suivantes définissent où vous pouvez afficher ces codes temporels dans l'UI.

Lecteur d'événements UDM

Pour ouvrir la vue Événement UDM, procédez comme suit :

  1. Effectuez une recherche UDM.
  2. Dans l'onglet Événements, sélectionnez un événement pour ouvrir la Visionneuse d'événements.

  3. Le volet Événement UDM affiche les données suivantes :

    • Le code temporel de l'événement est stocké dans le champ UDM metadata.event_timestamp (1).
    • L'horodatage d'ingestion est stocké dans le champ UDM metadata.ingested_timestamp (2).

    Vue "Événements UDM"

Panneau "Détections"

Pour ouvrir la vue Détections, procédez comme suit :

  1. Ouvrez Détections > Règles et détections, puis cliquez sur le bouton Tableau de bord.

  2. Cliquez sur le lien du nom de la règle dans la colonne Nom de la règle. Le panneau Détections s'affiche et contient les informations suivantes :

    • Le code temporel de détection s'affiche dans les lignes qui identifient une détection (1).
    • Le code temporel de l'événement s'affiche dans les lignes qui identifient les événements (2).

    Vue "Détections"

Vue des alertes

Pour ouvrir la vue Alerte :

  1. Ouvrez Détections > Alertes et IOC.
  2. Dans l'onglet Alertes, cliquez sur le lien du nom de l'alerte dans la colonne Nom.

  3. Cliquez sur l'onglet Vue d'ensemble pour afficher les éléments suivants :

    • Le code temporel de création de l'alerte (ou de la détection) s'affiche dans le volet Détails de l'alerte > champ Créée (1).
    • La période de détection s'affiche dans le volet Résumé de la détection > champ Période de détection (2).
    • L'horodatage de la détection s'affiche dans le volet Résumé de la détection > champ Alertes détectées le (3).

    Vue des alertes

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.