הגדרות של חותמות זמן

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר על חותמות זמן נפוצות של אירועים וזיהויים. מידע נוסף על חותמות זמן זמין במאמר בנושא פונקציית תאריך.

חותמות הזמן הבאות קשורות לאירועים:

• חותמת הזמן של האירוע: השעה שבה התרחש אירוע, והיא מאוחסנת בשדה metadata.event_timestamp ב-UDM. השדה metadata.event_timestamp משמש לחיפושים בכללים וב-UDM.
• חותמת זמן של איסוף: השעה שבה אירוע נאסף על ידי תשתית האיסוף המקומית, כמו המעביר, והתחיל את ההעברה אל Google Security Operations. הערך הזה מאוחסן בשדה metadata.collected_timestamp UDM. עיכובים באיסוף ובשינוע בין אוספים מקומיים לבין Google Security Operations משפיעים על מועד ההגעה של היומנים, אבל לא מייצגים את זמן האחזור של ההטמעה.
• חותמת זמן של קליטת הנתונים: השעה שבה אירוע התקבל ונבלע על ידי Google Security Operations. הערך הזה מאוחסן בשדה metadata.ingested_timestamp UDM. גם אם יומן מגיע שעות אחרי metadata.event_timestamp או metadata.collected_timestamp שלו בגלל עיכובים בהעברה או ברשת, בדרך כלל Google Security Operations קולט ומאנדקס את היומן זמן קצר אחרי שהוא מגיע.

הערה: פער גדול בין metadata.event_timestamp (או metadata.collected_timestamp) לבין metadata.ingested_timestamp מצביע על איסוף מקומי או על עיכוב בהעברה לפני שהיומן מגיע אל Google Security Operations. לדוגמה, אם יומן מגיע חמש שעות אחרי שהאירוע התרחש, הפער של חמש השעות מייצג עיכוב באיסוף ובשינוע מחוץ ל-Google Security Operations, ולא חביון של הטמעה. אחרי ש-Google Security Operations מקבל את היומן (metadata.ingested_timestamp), ההטמעה מסתיימת בדרך כלל תוך כמה שניות. העיכוב בהוספת נתונים מתייחס רק לזמן שחל מרגע ש-Google Security Operations מקבל את האירוע ועד לרגע שבו הנתונים זמינים לחיפוש או לכללי זיהוי.

חותמות זמן של יצירת אינדקס וזמינות נתונים

בנוסף לחותמות הזמן של האירועים, האיסוף וההטמעה, חשוב להבין מתי הנתונים הופכים לזמינים לחיפוש ולשימוש ב-Google Security Operations. התהליך הזה כולל את תהליך יצירת האינדקס, שמאפשר ליומנים ולאירועים ב-UDM שהועברו להיות זמינים לתכונות שונות של ניתוח וזיהוי.

בקטע הבא מפורטת זמינות הנתונים ביחס לתהליך ההוספה לאינדקס:

• זמינות של חיפוש ביומן גולמי: היומנים הגולמיים זמינים לחיפוש באמצעות התכונה 'חיפוש ביומן גולמי' זמן קצר מאוד אחרי ההטמעה. בשיטת החיפוש הזו, המערכת סורקת ישירות את הטקסט המקורי ביומן, בלי לנתח אותו, כדי למצוא את השאילתה. הזמינות הצפויה לחיפוש ביומנים גולמיים היא בדרך כלל תוך שניות עד כמה דקות אחרי שהיומן מגיע לנקודת ההטמעה של Google SecOps.

• זמינות של חיפוש UDM: אחרי שהיומנים הגולמיים נקלטים, הם עוברים ניתוח ורגולציה כדי להמיר אותם לאירועים של מודל נתונים מאוחד (UDM). לאחר מכן, האירועים האלה ב-UDM עוברים אינדוקס. הנתונים של UDM שעברו אינדוקס נדרשים לחיפוש ב-UDM, והם זמינים לשאילתות בדרך כלל תוך 2 עד 15 דקות אחרי ההטמעה הראשונית. זמן ממוצע מדויק יותר הוא כ-5 דקות מרגע שליחת הנתונים לשירות ההטמעה של Google SecOps.

• זמינות של כללי זיהוי: מנוע הזיהוי משתמש באירועי UDM. כדי שהכללים בזמן אמת והכללים המתוזמנים יבחנו נתונים חדשים, צריך לנתח את אירועי UDM, לנרמל אותם ולבצע להם אינדוקס. בדרך כלל, הפעלת הכלל מתרחשת תוך 5 עד 10 דקות אחרי שהאירוע מגיע לנקודת הקליטה של Google SecOps, בהתאם לסוג הכלל ולתזמון שלו.

זיהוי עיכובים:

כשמאבחנים זמן אחזור נתפס, חשוב להבחין בין זמן האחזור של איסוף הנתונים לבין זמן האחזור של הטמעת הנתונים:

• זמן האחזור של איסוף הנתונים (השהיית העברה): השוואה בין metadata.event_timestamp או metadata.collected_timestamp לבין metadata.ingested_timestamp. פער גדול מצביע על עיכובים שמתרחשים במקור היומן המקומי, במעביר או בנתיב הרשת לפני שהנתונים מגיעים אל Google SecOps.
• השהיה של קליטה ויצירת אינדקס: כדאי לעקוב אחרי ההבדל בין הזמן metadata.ingested_timestamp (שבו Google SecOps קיבל את האירוע) לבין הזמן שבו אפשר לשלוף את האירוע באמצעות UDM Search או שהוא זמין להפעלת כללים.

למרות שחותמות זמן ספציפיות של השלמת הוספה לאינדקס לא מוצגות ישירות כשדות UDM, זמני הזמינות המתועדים של UDM Search ו-Detection Engine מספקים מדריך לזמן האחזור של ההוספה לאינדקס. אם יש חריגות משמעותיות מחלון הזמן הצפוי של 2 עד 15 דקות אחרי metadata.ingested_timestamp, יכול להיות שיש עיכובים בעיבוד.

חותמות הזמן הבאות מאוחסנות עם הזיהויים:

• חלון הזיהוי: בכללים עם קטע match, נוצר זיהוי בטווח הזמן, שנקרא חלון הזיהוי. חותמות הזמן של האירועים שהפעילו את הזיהוי נמצאות בתוך חלון הזיהוי.
• חותמת הזמן של הזיהוי: בכללים עם קטע match, חותמת הזמן של הזיהוי היא שעת הסיום של חלון הזיהוי. אחרת, חותמת הזמן של הזיהוי היא metadata.event_timestamp של האירוע שיצר את הזיהוי.
• חותמת הזמן של יצירת הזיהוי: התאריך והשעה שבהם מנוע הזיהוי יצר את הזיהוי.

איפה חותמות הזמן מופיעות באפליקציה

בקטעים הבאים מוסבר איפה אפשר לראות את חותמות הזמן האלה בממשק המשתמש.

כלי לצפייה באירועי UDM

כדי לפתוח את התצוגה UDM Event:

1. מבצעים חיפוש ב-UDM.
2. בכרטיסייה אירועים, בוחרים אירוע כדי לפתוח את כלי הצפייה באירועים.

3. בחלונית UDM event מוצגים הנתונים הבאים:

   • חותמת הזמן של האירוע מאוחסנת בשדה metadata.event_timestamp UDM (1).
   • חותמת הזמן של הנתונים שהתקבלו מאוחסנת בשדה metadata.ingested_timestamp UDM‏ (2).

   

החלונית 'זיהויים'

כדי לפתוח את התצוגה Detections:

1. פותחים את Detections (זיהויים) > Rules & Detections (כללים וזיהויים), ואז לוחצים על הלחצן Dashboard (לוח בקרה).

2. לוחצים על הקישור של שם הכלל בעמודה שם הכלל. מופיעה החלונית Detections (זיהויים) עם הפרטים הבאים:

   • חותמת הזמן של הזיהוי מופיעה בשורות שמזהות זיהוי (1).
   • חותמת הזמן של האירוע מופיעה בשורות שמזהות אירועים (2).

   

תצוגת ההתראות

כדי לפתוח את התצוגה התראות:

1. פותחים את Detections (זיהויים) > Alerts & IOCs (התראות ואינדיקטורים של פריצות).
2. בכרטיסייה Alerts (התראות), לוחצים על הקישור לשם ההתראה בעמודה Name (שם).

3. לוחצים על הכרטיסייה סקירה כללית כדי להציג את הפרטים הבאים:

   • חותמת הזמן של יצירת ההתראה (או הזיהוי) מופיעה בחלונית פרטי ההתראה > בשדה נוצר (1).
   • חלון הזיהוי מופיע בחלונית סיכום הזיהוי > השדה חלון הזיהוי (2).
   • חותמת הזמן של הזיהוי מופיעה בחלונית סיכום הזיהוי > בשדה התראות שזוהו ב (3).

   

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.