Definizioni dei timestamp

Supportato in:

Google secops SIEM

Questo documento spiega i timestamp comuni per eventi e rilevamenti. Per saperne di più sui timestamp, consulta la funzione Date.

I seguenti timestamp sono correlati agli eventi:

• Timestamp dell'evento: ora in cui si è verificato un evento e viene memorizzata nel campo metadata.event_timestamp UDM. Le regole e le ricerche UDM utilizzano il campo metadata.event_timestamp per le query.
• Timestamp di raccolta: ora in cui un evento è stato raccolto dall'infrastruttura di raccolta locale, ad esempio il forwarder, e ha iniziato il transito verso Google Security Operations. Questo valore viene memorizzato nel campo UDM metadata.collected_timestamp. I ritardi di raccolta e trasporto tra i raccoglitori locali e Google Security Operations influiscono sul momento in cui arrivano i log, ma non rappresentano la latenza di importazione.
• Timestamp di importazione: ora in cui un evento è stato ricevuto e importato da Google Security Operations. Questo valore viene memorizzato nel campo UDM metadata.ingested_timestamp. Anche se un log arriva ore dopo il metadata.event_timestamp o il metadata.collected_timestamp a causa di ritardi di inoltro o di transito di rete, Google Security Operations in genere importa e indicizza il log poco dopo l'arrivo.

Nota: una grande differenza tra metadata.event_timestamp (o metadata.collected_timestamp) e metadata.ingested_timestamp indica un ritardo di raccolta o inoltro locale prima che il log raggiunga Google Security Operations. Ad esempio, se un log arriva cinque ore dopo che si è verificato l'evento, questo intervallo di cinque ore rappresenta un ritardo di raccolta e trasporto al di fuori di Google Security Operations, non la latenza di importazione. Una volta che Google Security Operations riceve il log (metadata.ingested_timestamp), l'importazione in genere termina in pochi secondi. La latenza di importazione si riferisce solo al tempo che intercorre tra il momento in cui Google Security Operations riceve l'evento e il momento in cui i dati diventano ricercabili o disponibili per le regole di rilevamento.

Timestamp di indicizzazione e disponibilità dei dati

Oltre ai timestamp di evento, raccolta e importazione, è fondamentale capire quando i dati diventano completamente ricercabili e utilizzabili in Google Security Operations. Ciò comporta il processo di indicizzazione, che rende i log importati e gli eventi UDM disponibili per varie funzionalità di analisi e rilevamento.

La sezione seguente descrive la disponibilità dei dati in relazione al processo di indicizzazione:

• Disponibilità della ricerca nei log non elaborati: i log non elaborati diventano disponibili per la ricerca utilizzando la funzionalità di ricerca nei log non elaborati molto rapidamente dopo l'importazione. Questo metodo di ricerca esegue la scansione diretta del testo del log originale e non analizzato per la query. La disponibilità prevista per la ricerca nei log non elaborati è spesso compresa tra pochi secondi e pochi minuti dopo l'arrivo del log nel punto di importazione di Google SecOps.

• Disponibilità della ricerca UDM: dopo l'importazione dei log non elaborati, questi vengono analizzati e normalizzati per essere convertiti in eventi UDM (Unified Data Model). Successivamente, questi eventi UDM vengono indicizzati. I dati UDM indicizzati sono necessari per una ricerca UDM e diventano disponibili per le query in genere entro 2-15 minuti dall'importazione iniziale. Un tempo medio più preciso è di circa 5 minuti dal momento in cui i dati vengono inviati al servizio di importazione di Google SecOps.

• Disponibilità delle regole di rilevamento: gli eventi UDM vengono utilizzati dal motore di rilevamento. Affinché le regole in tempo reale e pianificate vengano valutate in base ai nuovi dati, gli eventi UDM devono essere analizzati, normalizzati e indicizzati. L'esecuzione delle regole in genere avviene entro 5-10 minuti dall'arrivo dell'evento nel punto di importazione di Google SecOps, a seconda del tipo di regola e della pianificazione.

Rilevamento dei ritardi:

Quando diagnostichi la latenza percepita, distingui tra latenza di raccolta e latenza di importazione:

• Latenza di raccolta (ritardo di trasporto): confronta metadata.event_timestamp o metadata.collected_timestamp con metadata.ingested_timestamp. Un intervallo elevato indica ritardi nella sorgente log locale, nel forwarder o nel percorso di rete prima di raggiungere Google SecOps.
• Latenza di importazione e indicizzazione: monitora la differenza di tempo tra metadata.ingested_timestamp (quando Google SecOps ha ricevuto l'evento) e il momento in cui l'evento diventa interrogabile utilizzando la ricerca UDM o disponibile per l'esecuzione delle regole.

Sebbene i timestamp di completamento dell'indicizzazione specifici non siano esposti direttamente come campi UDM, i tempi di disponibilità documentati per la ricerca UDM e il motore di rilevamento forniscono una guida alla latenza di indicizzazione. Deviazioni significative dalla finestra prevista di 2-15 minuti dopo metadata.ingested_timestamp potrebbero indicare ritardi di elaborazione.

I seguenti timestamp vengono memorizzati con i rilevamenti:

• Finestra di rilevamento: per le regole con una sezione match, viene creato un rilevamento nell'intervallo di tempo, chiamato la finestra di rilevamento. I timestamp degli eventi che hanno attivato il rilevamento rientrano nella finestra di rilevamento.
• Timestamp di rilevamento: per le regole con una sezione match, il timestamp di rilevamento è l'ora di fine della finestra di rilevamento. In caso contrario, il timestamp di rilevamento è il metadata.event_timestamp dell'evento che ha generato il rilevamento.
• Timestamp di creazione del rilevamento: data e ora in cui il motore di rilevamento ha creato il rilevamento.

Dove vengono visualizzati i timestamp nell'applicazione

Le sezioni seguenti definiscono dove puoi visualizzare questi timestamp nell'interfaccia utente.

Visualizzatore eventi UDM

Per aprire la visualizzazione Evento UDM:

1. Esegui una ricerca UDM.
2. Nella scheda Eventi, seleziona un evento per aprire il Visualizzatore eventi

3. Il riquadro Evento UDM mostra i seguenti dati:

   • Il timestamp dell'evento viene memorizzato nel campo UDM metadata.event_timestamp (1).
   • Il timestamp di importazione viene memorizzato nel campo UDM metadata.ingested_timestamp (2).

   

Riquadro Rilevamenti

Per aprire la visualizzazione Rilevamenti:

1. Apri Rilevamenti > Regole e rilevamenti e fai clic sul pulsante Dashboard.

2. Fai clic sul link del nome della regola nella colonna Nome regola. Viene visualizzato il riquadro Rilevamenti , che mostra quanto segue:

   • Il timestamp di rilevamento viene visualizzato nelle righe che identificano un rilevamento (1).
   • Il timestamp dell'evento viene visualizzato nelle righe che identificano gli eventi (2).

   

Visualizzazione avviso

Per aprire la visualizzazione Avviso:

1. Apri Rilevamenti > Avvisi e IOC.
2. Nella scheda Avvisi, fai clic sul link del nome dell'avviso nella colonna Nome.

3. Fai clic sulla scheda Panoramica per visualizzare quanto segue:

   • Il timestamp di creazione dell'avviso (o del rilevamento) viene visualizzato nel riquadro Dettagli avviso > campo Creato (1).
   • La finestra di rilevamento viene visualizzata nel riquadro Riepilogo rilevamento > campo Finestra di rilevamento (2).
   • Il timestamp di rilevamento viene visualizzato nel riquadro Riepilogo rilevamento > campo Avvisi rilevati alle (3).

   

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.