タイムスタンプ定義

以下でサポートされています。

このドキュメントでは、イベントと検出の一般的なタイムスタンプについて説明します。 タイムスタンプの詳細については、日付関数をご覧ください。

イベントに関連するタイムスタンプは次のとおりです。

  • イベントのタイムスタンプ: イベントが発生した時刻。metadata.event_timestamp UDM フィールドに保存されます。ルールと UDM 検索では、クエリに metadata.event_timestamp フィールドが使用されます。
  • 収集タイムスタンプ: ローカルの収集インフラストラクチャ（フォワーダーなど）によってイベントが収集され、Google Security Operations への転送が開始された時刻。metadata.collected_timestamp UDM フィールドに保存されます。ローカル コレクタと Google Security Operations 間の収集と転送の遅延は、ログの到着時間に影響しますが、取り込みレイテンシを表すものではありません。
  • 取り込みタイムスタンプ: Google Security Operations によってイベントが受信され、取り込まれた時刻。metadata.ingested_timestamp UDM フィールドに保存されます。転送やネットワークの遅延により、ログが metadata.event_timestamp または metadata.collected_timestamp の数時間後に到着した場合でも、Google Security Operations は通常、到着後すぐにログを取り込んでインデックス登録します。

インデックス登録とデータの可用性のタイムスタンプ

イベント、収集、取り込みのタイムスタンプに加えて、Google Security Operations 内でデータが完全に検索可能になり、使用可能になるタイミングを把握することが重要です。これには、取り込まれたログと UDM イベントをさまざまな分析機能と検出機能で使用できるようにするインデックス登録プロセスが含まれます。

次のセクションでは、インデックス登録プロセスに関連するデータの可用性について説明します。

  • 未加工ログ検索の可用性: 未加工ログは、取り込み後すぐに未加工ログ検索機能を使用して検索できるようになります。この検索方法では、解析されていない元のログテキストでクエリを直接スキャンします。通常、未加工ログの検索は、ログが Google SecOps の取り込みポイントに到着してから数秒から数分以内に利用可能になります。

  • UDM 検索の可用性: 未加工ログが取り込まれると、解析と正規化が行われ、統合データモデル（UDM）イベントに変換されます。その後、これらの UDM イベントはインデックス登録されます。インデックス登録された UDM データは UDM 検索に必要であり、通常、最初の取り込みから 2 ～ 15 分以内にクエリに使用できるようになります。より正確な平均時間は、データが Google SecOps 取り込みサービスに送信されてから約 5 分です。

  • 検出ルールの可用性: UDM イベントは検出エンジンで使用されます。リアルタイム ルールとスケジュール設定されたルールで新しいデータを評価するには、UDM イベントを解析、正規化、インデックス登録する必要があります。通常、ルール実行は、ルールタイプとスケジューリングに応じて、イベントが Google SecOps 取り込みポイントに到着してから 5 ～ 10 分以内に行われます。

遅延の検出:

認識されたレイテンシを診断する場合は、収集レイテンシと取り込みレイテンシを区別します。

  • 収集レイテンシ（転送遅延）: metadata.event_timestamp または metadata.collected_timestamp と metadata.ingested_timestamp を比較します。大きなギャップは、Google SecOps に到達する前にローカル ログソース、フォワーダー、ネットワーク パスで遅延が発生していることを示します。
  • 取り込みとインデックス登録のレイテンシ: metadata.ingested_timestamp（Google SecOps がイベントを受信したとき）と、UDM 検索を使用してイベントをクエリ可能にするか、ルール実行に使用可能にするまでの時間差をモニタリングします。

特定のインデックス登録完了タイムスタンプは UDM フィールドとして直接公開されませんが、UDM 検索と Detection Engine のドキュメントに記載されている利用可能時間は、インデックス登録のレイテンシの目安となります。metadata.ingested_timestamp の後、2 ～ 15 分の想定期間から大きく外れている場合は、処理の遅延を示している可能性があります。

検出で保存されるタイムスタンプは次のとおりです。

  • 検出ウィンドウ: match セクションがあるルールの場合、検出は検出ウィンドウと呼ばれる期間に対して作成されます。検出をトリガーしたイベントのイベント タイムスタンプは、検出ウィンドウ内にあります。
  • 検出タイムスタンプ: match セクションがあるルールの場合、検出タイムスタンプは検出ウィンドウの終了時間です。それ以外の場合、検出タイムスタンプは検出が生成されたイベントの metadata.event_timestamp です。
  • 検出作成タイムスタンプ: 検出エンジンで検出が作成された日時。

アプリケーションでタイムスタンプが表示される場所

以降のセクションでは、UI でこれらのタイムスタンプを確認できる場所について説明します。

UDM イベント ビューア

[UDM イベント] ビューを開くには、次の操作を行います。

  1. UDM 検索を実行します。
  2. [イベント] タブで、イベントを選択して [イベント ビューア] を開きます。

  3. [UDM イベント] ペインには、次のデータが表示されます。

    • イベント タイムスタンプは metadata.event_timestamp UDM フィールドに保存されます（1）。
    • 取り込みタイムスタンプは metadata.ingested_timestamp UDM フィールドに保存されます（2）。

    UDM イベントビュー

[検出] パネル

[検出] ビューを開くには、次の操作を行います。

  1. [検出] > [ルールと検出] を開き、[ダッシュボード] ボタンをクリックします。

  2. [ルール名] 列で、ルール名のリンクをクリックします。[検出] パネルが開き、次の情報が表示されます。

    • 検出タイムスタンプは、検出を識別する行に表示されます（1）。
    • イベント タイムスタンプは、イベントを識別する行に表示されます（2）。

    [検出] ビュー

アラートビュー

[アラート] ビューを開くには、次の手順を行います。

  1. [検出] > [アラートと IOC] を開きます。
  2. [アラート] タブで、[名前] 列のアラート名のリンクをクリックします。

  3. [概要] タブをクリックすると、次の内容が表示されます。

    • アラート（または検出）作成タイムスタンプが [アラートの詳細] ペイン > [作成] フィールドに表示されます（1）。
    • 検出ウィンドウが [検出の概要] ペイン > [検出ウィンドウ] フィールドに表示されます（2）。
    • 検出タイムスタンプが [検出の概要] ペイン > [アラート検出時刻] フィールド（3）に表示されます。

    アラートビュー

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。