Definiciones de marcas de tiempo

Se admite en los siguientes sistemas operativos:

En este documento, se explican las marcas de tiempo comunes para los eventos y las detecciones. Para obtener más información sobre las marcas de tiempo, consulta Función de fecha.

Las siguientes marcas de tiempo se relacionan con eventos:

  • Marca de tiempo del evento: Es la fecha y hora en que ocurrió un evento y se almacena en el campo metadata.event_timestamp del UDM. Las reglas y las búsquedas de UDM usan el campo metadata.event_timestamp para las consultas.
  • Marca de tiempo de recopilación: Es la fecha y hora en que la infraestructura de recopilación local, como el reenviador, recopiló un evento y comenzó el tránsito hacia Google Security Operations. Este valor se almacena en el campo metadata.collected_timestamp del UDM. Las demoras en la recopilación y el transporte entre los recopiladores locales y Google Security Operations afectan el momento en que llegan los registros, pero no representan la latencia de la transferencia.
  • Marca de tiempo de la transferencia: Es la fecha y hora en que Google Security Operations recibió y transfirió un evento. Este valor se almacena en el campo metadata.ingested_timestamp del UDM. Incluso si un registro llega horas después de su metadata.event_timestamp o metadata.collected_timestamp debido a reenvíos o retrasos en el tránsito de la red, Google Security Operations suele ingerir e indexar el registro poco después de su llegada.

Marcas de tiempo de indexación y disponibilidad de datos

Además de las marcas de tiempo de eventos, recopilación y transferencia, es fundamental comprender cuándo los datos se pueden buscar y usar por completo en Google Security Operations. Esto implica el proceso de indexación, que hace que los registros y los eventos de UDM transferidos estén disponibles para diversas funciones de análisis y detección.

En la siguiente sección, se describe la disponibilidad de los datos en relación con el proceso de indexación:

  • Disponibilidad de la Búsqueda de registros sin procesar: Los registros sin procesar están disponibles para la búsqueda con la función Búsqueda de registros sin procesar muy poco después de la transferencia. Este método de búsqueda analiza directamente el texto del registro original sin analizar para tu búsqueda. La disponibilidad esperada para la búsqueda de registros sin procesar suele ser de segundos a unos minutos después de que el registro llega al punto de transferencia de Google SecOps.

  • Disponibilidad de la búsqueda de UDM: Después de que se transfieren los registros sin procesar, estos se analizan y normalizan para convertirse en eventos del modelo de datos unificado (UDM). Posteriormente, estos eventos del UDM se indexan. Los datos de UDM indexados son necesarios para una búsqueda de UDM y suelen estar disponibles para consultas entre 2 y 15 minutos después de la transferencia inicial. Un tiempo promedio más preciso es de alrededor de 5 minutos desde que se envían los datos al servicio de transferencia de Google SecOps.

  • Disponibilidad de la regla de detección: Detection Engine usa eventos de UDM. Para que las reglas programadas y en tiempo real se evalúen en función de los datos nuevos, los eventos del UDM deben analizarse, normalizarse y, luego, indexarse. Por lo general, la ejecución de reglas se produce entre 5 y 10 minutos después de que el evento llega al punto de transferencia de Google SecOps, según el tipo de regla y la programación.

Cómo detectar demoras:

Cuando diagnostiques la latencia percibida, distingue entre la latencia de recopilación y la latencia de transferencia:

  • Latencia de recopilación (retraso en el transporte): Compara metadata.event_timestamp o metadata.collected_timestamp con metadata.ingested_timestamp. Una brecha grande indica que se producen retrasos en la fuente del archivo de registro local, el reenviador o la ruta de red antes de llegar a Google SecOps.
  • Latencia de indexación y de transferencia: Supervisa la diferencia de tiempo entre metadata.ingested_timestamp (cuando Google SecOps recibió el evento) y el momento en que el evento se puede consultar con la Búsqueda de UDM o está disponible para la ejecución de reglas.

Si bien las marcas de tiempo específicas de finalización de la indexación no se exponen directamente como campos de UDM, los tiempos de disponibilidad documentados para el motor de búsqueda y detección de UDM proporcionan una guía sobre la latencia de indexación. Las desviaciones significativas del período esperado de 2 a 15 minutos después de metadata.ingested_timestamp podrían indicar retrasos en el procesamiento.

Las siguientes marcas de tiempo se almacenan con las detecciones:

  • Ventana de detección: Para las reglas con una sección match, se crea una detección durante el período, que se denomina ventana de detección. Las marcas de tiempo de los eventos que activaron la detección se encuentran dentro del período de detección.
  • Marca de tiempo de detección: Para las reglas con una sección match, la marca de tiempo de detección es la hora de finalización del período de detección. De lo contrario, la marca de tiempo de detección es el metadata.event_timestamp del evento que generó la detección.
  • Marca de tiempo de creación de la detección: Fecha y hora en que el motor de detección creó la detección.

Dónde aparecen las marcas de tiempo en la aplicación

En las siguientes secciones, se define dónde puedes ver estas marcas de tiempo en la IU.

Visualizador de eventos de UDM

Para abrir la vista Evento de UDM, haz lo siguiente:

  1. Realiza una búsqueda de UDM.
  2. En la pestaña Eventos, selecciona un evento para abrir el Visualizador de eventos.

  3. En el panel Evento de UDM, se muestran los siguientes datos:

    • La marca de tiempo del evento se almacena en el campo metadata.event_timestamp de UDM (1).
    • La marca de tiempo ingerida se almacena en el campo metadata.ingested_timestamp del UDM (2).

    Vista de eventos de UDM

Panel de Detecciones

Para abrir la vista Detecciones, haz lo siguiente:

  1. Abre Detecciones > Reglas y detecciones y, luego, haz clic en el botón Panel.

  2. Haz clic en el vínculo del nombre de la regla en la columna Nombre de la regla. Aparecerá el panel Detecciones, en el que se mostrará lo siguiente:

    • La marca de tiempo de detección aparece en las filas que identifican una detección (1).
    • La marca de tiempo del evento aparece en las filas que identifican eventos (2).

    Vista de Detecciones

Vista de alerta

Para abrir la vista Alerta, haz lo siguiente:

  1. Abre Detecciones > IOC y alertas.
  2. En la pestaña Alertas, haz clic en el vínculo del nombre de la alerta en la columna Nombre.

  3. Haz clic en la pestaña Descripción general para mostrar lo siguiente:

    • La marca de tiempo de la alerta (o detección) creada aparece en el panel Detalles de la alerta > campo Creada (1).
    • El período de detección aparece en el panel Detection Summary > campo Detection window (2).
    • La marca de tiempo de detección aparece en el panel Detection Summary > campo Alerts detected at (3).

    Vista de alerta

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.