Definizioni dei timestamp

Supportato in:

Google SecOps SIEM

Questo documento spiega i timestamp comuni per eventi e rilevamenti. Per saperne di più sui timestamp, consulta Funzione Data.

I seguenti timestamp sono correlati agli eventi:

• Timestamp evento: l'ora in cui si è verificato un evento e viene memorizzata nel campo metadata.event_timestamp UDM. Le ricerche di regole e UDM utilizzano il campo metadata.event_timestamp per le query.
• Timestamp di raccolta: ora in cui un evento è stato raccolto dall'infrastruttura di raccolta locale, ad esempio il forwarder, e ha iniziato il transito verso Google Security Operations. Queste informazioni vengono memorizzate nel campo metadata.collected_timestamp UDM. I ritardi di raccolta e trasporto tra i raccoglitori locali e Google Security Operations influiscono sull'orario di arrivo dei log, ma non rappresentano la latenza di importazione.
• Timestamp inserito: ora in cui un evento è stato ricevuto e inserito da Google Security Operations. Queste informazioni sono archiviate nel campo metadata.ingested_timestamp UDM. Anche se un log arriva ore dopo il suo metadata.event_timestamp o metadata.collected_timestamp a causa di ritardi di inoltro o di transito della rete, Google Security Operations in genere lo acquisisce e lo indicizza poco dopo l'arrivo.

Nota :una grande differenza tra metadata.event_timestamp (o metadata.collected_timestamp) e metadata.ingested_timestamp indica un ritardo nella raccolta o nell'inoltro locale prima che il log raggiunga Google Security Operations. Ad esempio, se un log arriva cinque ore dopo l'evento, questo intervallo di cinque ore rappresenta un ritardo di raccolta e trasporto al di fuori di Google Security Operations, non la latenza di importazione. Una volta che Google Security Operations riceve il log (metadata.ingested_timestamp), l'importazione in genere termina in pochi secondi. La latenza di importazione si riferisce solo al tempo che intercorre tra il momento in cui Google Security Operations riceve l'evento e il momento in cui i dati diventano ricercabili o disponibili per le regole di rilevamento.

Timestamp di indicizzazione e disponibilità dei dati

Oltre ai timestamp di eventi, raccolta e importazione, è fondamentale capire quando i dati diventano completamente ricercabili e utilizzabili in Google Security Operations. Ciò comporta il processo di indicizzazione, che rende disponibili i log e gli eventi UDM inseriti per varie funzionalità di analisi e rilevamento.

La sezione seguente descrive la disponibilità dei dati in relazione al processo di indicizzazione:

• Disponibilità della ricerca nei log non elaborati:i log non elaborati diventano disponibili per la ricerca utilizzando la funzionalità di ricerca nei log non elaborati molto rapidamente dopo l'importazione. Questo metodo di ricerca esamina direttamente il testo del log originale non analizzato per la query. La disponibilità prevista per la ricerca nei log non elaborati è spesso compresa tra pochi secondi e qualche minuto dopo l'arrivo del log nel punto di importazione di Google SecOps.

• Disponibilità della ricerca UDM:dopo l'importazione, i log non elaborati vengono analizzati e normalizzati per essere convertiti in eventi Unified Data Model (UDM). Successivamente, questi eventi UDM vengono indicizzati. I dati UDM indicizzati sono necessari per una ricerca UDM e diventano disponibili per le query in genere entro 2-15 minuti dopo l'importazione iniziale. Un tempo medio più preciso è di circa 5 minuti dal momento in cui i dati vengono inviati al servizio di importazione di Google SecOps.

• Disponibilità delle regole di rilevamento:gli eventi UDM vengono utilizzati dal motore di rilevamento. Affinché le regole in tempo reale e pianificate vengano valutate in base ai nuovi dati, gli eventi UDM devono essere analizzati, normalizzati e indicizzati. L'esecuzione delle regole in genere avviene entro 5-10 minuti dall'arrivo dell'evento nel punto di importazione di Google SecOps, a seconda del tipo di regola e della pianificazione.

Rilevamento dei ritardi:

Quando diagnostichi la latenza percepita, distingui tra latenza di raccolta e latenza di importazione:

• Latenza della raccolta (ritardo nel trasporto): confronta metadata.event_timestamp o metadata.collected_timestamp con metadata.ingested_timestamp. Un intervallo ampio indica ritardi nella sorgente log locale, nel programma di inoltro o nel percorso di rete prima di raggiungere Google SecOps.
• Latenza di importazione e indicizzazione:monitora la differenza di tempo tra metadata.ingested_timestamp (quando Google SecOps ha ricevuto l'evento) e quando l'evento diventa interrogabile utilizzando la ricerca UDM o disponibile per l'esecuzione delle regole.

Sebbene i timestamp di completamento dell'indicizzazione specifici non siano esposti direttamente come campi UDM, i tempi di disponibilità documentati per UDM Search and Detection Engine forniscono una guida alla latenza di indicizzazione. Deviazioni significative dalla finestra prevista di 2-15 minuti dopo le ore metadata.ingested_timestamp potrebbero indicare ritardi nell'elaborazione.

I seguenti timestamp vengono archiviati con i rilevamenti:

• Finestra di rilevamento: per le regole con una sezione match, viene creato un rilevamento nell'intervallo di tempo, chiamato finestra di rilevamento. I timestamp degli eventi che hanno attivato il rilevamento si trovano all'interno della finestra di rilevamento.
• Timestamp di rilevamento: per le regole con una sezione match, il timestamp di rilevamento è l'ora di fine della finestra di rilevamento. In caso contrario, il timestamp del rilevamento è metadata.event_timestamp dell'evento che ha generato il rilevamento.
• Timestamp di creazione del rilevamento: data e ora in cui il rilevamento è stato creato dal motore di rilevamento.

Dove vengono visualizzati i timestamp nell'applicazione

Le sezioni seguenti definiscono dove puoi visualizzare questi timestamp nell'interfaccia utente.

Visualizzatore eventi UDM

Per aprire la visualizzazione Evento UDM:

1. Esegui una ricerca UDM.
2. Nella scheda Eventi, seleziona un evento per aprire il Visualizzatore eventi.

3. Il riquadro Evento UDM mostra i seguenti dati:

   • Il timestamp dell'evento è memorizzato nel campo UDM metadata.event_timestamp (1).
   • Il timestamp inserito viene memorizzato nel campo UDM metadata.ingested_timestamp (2).

   

Pannello Rilevamenti

Per aprire la visualizzazione Rilevamenti:

1. Apri Rilevamenti > Regole e rilevamenti e poi fai clic sul pulsante Dashboard.

2. Fai clic sul link del nome della regola nella colonna Nome regola. Viene visualizzato il riquadro Rilevamenti, che mostra quanto segue:

   • Il timestamp di rilevamento viene visualizzato nelle righe che identificano un rilevamento (1).
   • Il timestamp dell'evento viene visualizzato nelle righe che identificano gli eventi (2).

   

Visualizzazione avviso

Per aprire la visualizzazione Avviso:

1. Apri Rilevamenti > Avvisi e IOC.
2. Nella scheda Avvisi, fai clic sul link del nome dell'avviso nella colonna Nome.

3. Fai clic sulla scheda Panoramica per visualizzare quanto segue:

   • Il timestamp di creazione dell'avviso (o del rilevamento) viene visualizzato nel riquadro Dettagli avviso > campo Creato (1).
   • La finestra di rilevamento viene visualizzata nel riquadro Riepilogo rilevamento > campo Finestra di rilevamento (2).
   • Il timestamp del rilevamento viene visualizzato nel riquadro Riepilogo rilevamento > campo Avvisi rilevati alle ore (3).

   

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.