Ausführungszeitpläne für Regeln

Unterstützt in:

Dieses Dokument richtet sich an Sicherheitsanalysten, ‑ingenieure und Plattformadministratoren, die wissen möchten, wie Google Security Operations die Ausführung von Regeln plant und verwaltet. Es wird erläutert, wie die Regelkonfigurationen die Verarbeitungshäufigkeit bestimmen, wie das System das Streaming in nahezu Echtzeit mit der geplanten Batchverarbeitung in Einklang bringt und wie Hintergrundausführungen verspätet eingehende Logs und die Kontextanreicherung verarbeiten.

Gängige Anwendungsfälle

Die Auswahl oder das Verständnis des richtigen Zeitplans hängt von der Schwere der Bedrohung und der Komplexität der Logik ab:

  • Benachrichtigungen mit hoher Priorität: Erkennen Sie kritische Bedrohungen in nahezu Echtzeit für Übereinstimmungen mit einzelnen Ereignissen, für die keine zusätzliche Ereigniskorrelation erforderlich ist, und verkürzen Sie so die Verweilzeit von Angreifern.
  • Komplexe Korrelation und Berichterstellung: Verwenden Sie geplante Intervalle (z. B. 10 Minuten oder 1 Stunde) für Regeln mit mehreren Ereignissen, mit denen Zählungen, Summen oder gleitende Übereinstimmungsfenster berechnet werden. Geplante Intervalle sorgen dafür, dass das System zugehörige Logs vor der Ausführung aufnimmt und anreichert. So wird die Genauigkeit von Benachrichtigungen für Compliance- und Trendanalysen verbessert.

Schlüsselterminologie

  • Deterministische Häufigkeit: Das Basisintervall für die Ausführung, das das System automatisch basierend auf dem Übereinstimmungsfenster und dem Regeltyp zuweist.
  • Primäre Ausführung (T + Offset): Die erste Ausführung der Erkennungslogik für einen Ereigniszeitblock. Die Abrechnungsverzögerung stellt den Offset dar, der hinzugefügt wird, um verspätet eingehende Daten zu berücksichtigen.
  • Abrechnungsverzögerung: Der Pufferzeitraum, der der primären Ausführung hinzugefügt wird, damit verspätet eingehende Logs verarbeitet werden können, bevor die Regelbewertung beginnt.
  • Korrekturausführungen (Regelwiederholungen): Automatisierte Hintergrundausführungen, bei denen zuvor verarbeitete Zeitfenster neu bewertet werden, um Logs oder Anreicherungsdaten zu erfassen, die nach der primären Ausführung eingegangen sind.
  • Anreicherung: Der Prozess, bei dem einem Log während der Pipelineverarbeitung Kontext hinzugefügt wird, z. B. Asset-Metadaten, Nutzeridentität oder Indikatoren für Bedrohungsdaten.
  • Erkennungsverzögerung: Die gesamte verstrichene Zeit zwischen dem Ereigniszeitstempel und der Erstellung einer Erkennung.

Hinweis

Prüfen Sie, ob Ihre Umgebung die folgenden Anforderungen erfüllt:

  • Berechtigungen: Sie benötigen die IAM-Rolle „Chronicle API Admin“ (roles/chronicle.admin) oder „Chronicle API Editor“ (roles/chronicle.editor), um Regelzeitpläne zu ändern, oder die Rolle „Chronicle API Viewer“ (roles/chronicle.viewer), um Zeitpläne im Dashboard für Regeln zu prüfen.
  • Umgebungsprüfung: Prüfen Sie, ob Ihre Logs dem einheitlichen Datenmodell (Unified Data Model, UDM) zugeordnet sind, um Aggregationen mit geplanten Intervallen zu unterstützen.

Funktionsweise der Regelplanung

Google SecOps gleicht die Latenz bei der Erkennung in nahezu Echtzeit mit der Plattformstabilität für Tausende von Regeln aus. Die Plattform verwendet zwei primäre Ausführungsmodelle:

  1. Streaming-Engine: Bewertet Regeln für einzelne Ereignisse (auch mit Übereinstimmungsfenstern von mehr als 48 Stunden) kontinuierlich in nahezu Echtzeit (in der Regel innerhalb von 5 Minuten nach der Aufnahme). Verspätet eingehende Ereignisse und rückwirkende Anreicherungen werden während der Standardausführung kontinuierlich bewertet.
  2. Geplante Abfrage-Engine: Bewertet komplexe Regeln für einzelne Ereignisse (mit Referenzlisten oder Datentabellen) in nahezu Echtzeit und Regeln für mehrere Ereignisse in Batchblöcken der Ereigniszeit (z. B. 10-Minuten- oder 1-Stunden-Intervalle oder match_window / 10 für Fenster mit mehr als 48 Stunden). Für Regeln mit mehreren Ereignissen ist ein Zeitfenster erforderlich, um Ereignisse aus verschiedenen Quellen zu aggregieren und zu korrelieren.

Standardkonfiguration des Zeitplans

Wenn Sie eine Regel aktivieren, bestimmt Google SecOps automatisch die Standardausführungshäufigkeit basierend auf der Logik und dem Übereinstimmungsfenster der Regel:

Regeltyp und Fenstergröße Ausführungshäufigkeit Zeitpunkt der Bewertung Korrekturausführungen
Regel für einzelne Ereignisse (Standard oder Fenster) Echtzeit Kurz nach dem Eintreffen (< 5 Minuten) Nein.Verspätete und angereicherte Daten werden bei der Standardausführung kontinuierlich bewertet.
Regel für einzelne Ereignisse (mit Referenzlisten oder Datentabellen) Nahezu in Echtzeit Kurz nach dem Eintreffen (< 5 Minuten) Nein.Verspätete und angereicherte Daten werden während der Standardabfrageausführung kontinuierlich bewertet.
Regel für mehrere Ereignisse (window <= 48h) Jede Stunde oder Alle 10 Minuten (anpassbar für Fenster < 1 Stunde) 1 bis 2 Stunden nach der Ankunft Ja Enthält eine automatische Korrekturausführung nach 4 Stunden und eine optionale Korrekturausführung nach 30 Stunden.
Regel für mehrere Ereignisse (window > 48h) match_window / 10 (z. B. täglich für ein 10-Tage-Übereinstimmungsfenster) Variiert je nach Übereinstimmungsfenster (match_window / 10) Nein.Verspätete und angereicherte Daten werden bei nachfolgenden überlappenden Ausführungen bewertet.

Automatische Korrekturausführungen

Um verpasste Erkennungen aufgrund von Latenz bei der Aufnahme oder verspätet eingehenden Anreicherungsmetadaten (z. B. Asset-Tags oder Nutzeraliasen) zu vermeiden, führt das System automatisch Hintergrund-Korrekturausführungen für Regeln mit mehreren Ereignissen (window <= 48h) durch:

  1. Erste Ausführung: Wird so schnell wie möglich basierend auf dem geplanten Intervall ausgeführt, um sofortige Bedrohungen aufzudecken.
  2. Erste Korrekturausführung (4 Stunden): Bewertet den Zeitblock etwa 4 Stunden nach der ersten Ausführung neu, um verspätet eingehende Logs zu erfassen. In dieser Phase wird nicht auf die vollständige Datenanreicherung gewartet.
  3. Zweite Korrekturausführung (30 Stunden): (Optional) Wird etwa 30 Stunden nach der ersten Ausführung ausgeführt, sobald alle zusätzlichen Kontext- und Datenanreicherungspipelines abgeschlossen sind.

Weitere Informationen zum Korrekturverhalten und zu Szenarien finden Sie unter Regelwiederholungen und MTTD.

Anpassbare Zeitpläne

Bei benutzerdefinierten Regeln mit mehreren Ereignissen und einem Übereinstimmungsfenster von maximal 48 Stunden können Sie in Google SecOps Zeitplanparameter anpassen, anstatt sich vollständig auf die Standardeinstellungen des Systems zu verlassen:

  • Häufigkeit auswählen: Wählen Sie Ausführungshäufigkeiten wie Alle 10 Minuten (für Übereinstimmungsfenster unter 60 Minuten) oder Jede Stunde aus.
  • Abrechnungsverzögerung: Fügen Sie eine Pufferverzögerung (T + Offset) hinzu, um die bekannte Latenz bei der Aufnahme von Logquellen zu berücksichtigen.
  • Vollständigkeit der Anreicherung: Verlängern Sie die Korrekturverarbeitung auf 30 Stunden, damit alle externen Metadatenverknüpfungen vor der endgültigen Bewertung abgeschlossen sind.

Eine vollständige Konfigurationsanleitung finden Sie unter Benutzerdefinierte Zeitpläne für Regeln konfigurieren.

Sichtbarkeit des Zeitplans im Dashboard für Regeln

Im Dashboard für Regeln wird in der Spalte Regelzeitplan der zugewiesene Ausführungszeitplan für jede aktive Regel angezeigt. Für inaktive Regeln wird erst nach der Aktivierung ein aktiver Zeitplan angezeigt.

Informationen zum Ändern der Ausführungshäufigkeit, zum Hinzufügen von Abrechnungsverzögerungen oder zum Anpassen der Wartezeiten für die Anreicherung für eine benutzerdefinierte Regel mit mehreren Ereignissen finden Sie unter Benutzerdefinierte Zeitpläne für Regeln konfigurieren.

Indikatoren für die Erkennungsquelle

Auf der Seite Benachrichtigungen und im Dashboard für Regeln gibt die Spalte Erkennungstyp an, ob eine Erkennung aus einer ersten Ausführung oder einer automatischen Hintergrundausführung stammt:

  • Kein Symbol: Die Erkennung wurde während der primären Ausführung (T) oder mit der kontinuierlichen Streaming-Engine generiert.
  • Glühbirnensymbol : Die Erkennung stammt aus Ereignisdaten, die mehr als 30 Minuten zu spät eingegangen sind, automatischen Korrekturausführungen, Pipelines zur Neuverarbeitung oder Retrohunts.

Latenz und Fehlerbehebung

Die Häufigkeit der Regelausführung hat direkte Auswirkungen auf die Geschwindigkeit Ihrer Erkennungen. Beachten Sie beim Entwerfen und Überwachen von Regeln die folgenden Verhaltensweisen:

  • Stündliche Zeitpläne: Werden stündlich mit den neuesten verfügbaren Daten ausgeführt. Standardmäßig wird kein zusätzlicher Puffer angewendet.
  • Übereinstimmungsfenster mit mehr als 48 Stunden: Das System führt diese Regeln mit einer Häufigkeit von match_window / 10 aus und führt keine Korrekturausführungen durch.
  • Abweichungen zwischen Ausführungen: Eine Erkennung, die bei der ersten Ausführung nicht ausgelöst wird, kann bei einer Korrekturausführung ausgelöst werden, wenn die Logaufnahme verzögert wurde oder wenn die Kontextanreicherung (z. B. die Auflösung des Entitätsdiagramms) nach der ersten Bewertung abgeschlossen wurde.
  • Fehlende Anpassungsoptionen: Regeln für einzelne Ereignisse werden in nahezu Echtzeit bewertet und unterstützen keine Intervallanpassung. Für kuratierte Regeln werden feste Systemzeitpläne verwendet. Benutzerdefinierte Regeln mit mehreren Ereignissen und einem Übereinstimmungsfenster von mehr als 48 Stunden werden mit einer Häufigkeit von match_window / 10 ausgeführt und können nicht angepasst werden.
  • Nicht unterstützte Intervalle: Wenn Sie die Ausführung in nahezu Echtzeit nicht auswählen können, handelt es sich bei Ihrer Regel um eine Regel mit mehreren Ereignissen, für die eine Ereigniskorrelation über die Zeit hinweg erforderlich ist, oder sie enthält Aggregationen (z. B. count oder sum), für die die geplante Batchabfrage-Engine erforderlich ist.

Eine ausführliche Anleitung zur Fehlerbehebung finden Sie unter Verzögerungen bei der Regelerkennung.

Nächste Schritte

Weitere Informationen zu verwandten Planungskonzepten und Konfigurationsabläufen finden Sie in den folgenden Dokumenten:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten