Verlaufsdaten neu parsen (Log Replay)

Unterstützt in:

Dieser Leitfaden richtet sich an Sicherheits- und Erkennungstechniker, die historische Logdaten in Google Security Operations mit Log Replay neu parsen möchten. Darin wird beschrieben, wie Sie eine aktive Parserkonfiguration validieren und über den Google Cloud Support eine Backend-Log-Replay-Aufgabe anfordern, um aktualisierte UDM-Feldzuordnungen (Unified Data Model) für bis zu 180 Tage mit historischen Telemetriedaten zu aktualisieren. Mit dieser Methode können Sie aktualisierte vordefinierte Parser, benutzerdefinierte Parser oder Parsererweiterungen auf gespeicherte Rohlogs anwenden, wenn neue Zuordnungsanweisungen ansonsten nur auf neu aufgenommene Logs angewendet werden. Ein erfolgreicher Abschluss verbessert die Abdeckung von Regeln für die Suche nach Bedrohungen und die Erkennung, ohne dass Protokolle von Quellendpunkten manuell neu aufgenommen werden müssen.

Gängige Anwendungsfälle

Das erneute Parsen von Verlaufslogs ist für die folgenden Betriebsszenarien vorgesehen:

Nachträgliche Feldnormalisierung

  • Ziel: Neu zugeordnete UDM-Felder in historischen Logs auffüllen, nachdem Sie ein Update für einen vordefinierten Parser, einen benutzerdefinierten Parser oder eine Parser-Erweiterung aktiviert haben.
  • Wert: Die Suchbarkeit bleibt über Verlaufs- und Live-Daten hinweg konsistent, ohne dass eine manuelle Neuaufnahme von Quellendpunkten erforderlich ist.

Spurensuche im Log-Explorer

  • Ziel: Fragen Sie historische Logs mit neu zugeordneten UDM-Attributen ab, um vergangene Aktivitäten von Angreifern zu untersuchen.
  • Wert: Beschleunigt die Incident Response, indem historische Kompromittierungsindikatoren (Indicators of Compromise, IOCs) angezeigt werden, die zuvor im Rohprotokolltext nicht zugeordnet waren.

Auswertung von Regeln zur Erkennung von Verlaufsdaten

  • Ziel: YARA-L-Erkennungsregeln anhand von vergangenen Logdaten auswerten, für die bestimmte normalisierte UDM-Felder erforderlich sind.
  • Wert: Verhindert falsch negative Ergebnisse bei der Bewertung der aktualisierten Erkennungslogik anhand von bisherigen Ereignissen.

Schlüsselterminologie

  • Log Replay: Der Backend-Dienst in Google SecOps, der gespeicherte Rohlogs über eine aktive Parserkonfiguration neu verarbeitet, um aktualisierte UDM-Datensätze zu generieren.
  • Einheitliches Datenmodell (Unified Data Model, UDM): Das standardisierte Schema, das von Google SecOps verwendet wird, um Sicherheitstelemetriedaten für die Suche, Dashboards und Erkennungsregeln zu normalisieren.
  • Unveränderliches Rohdaten-Repository: Die zugrunde liegende Speicherebene, in der ursprüngliche, unveränderte Rohdaten-Logs für Compliance, Audits und das erneute Parsen von Verlaufsdaten aufbewahrt werden.

Hinweis

Bevor Sie eine Log Replay-Aufgabe anfordern, müssen Sie die folgenden Anforderungen erfüllen:

  • Berechtigungen: Sie benötigen die folgenden Berechtigungen:

    • Parserkonfigurationen in Google SecOps ansehen und verwalten, z. B. mit der Rolle Chronicle API Editor.
    • Supportanfragen in der Google Cloud Console erstellen (z. B. mit der Rolle „Technischer-Support-Bearbeiter“, roles/cloudsupport.techSupportEditor).

  • Umgebungsprüfung: Prüfen Sie, ob Sie die Google SecOps-Kundeninstanz-ID und die zugehörige Google Cloud Projekt-ID haben.

Beschränkungen

Für Log Replay gelten die folgenden Supportgrenzen:

  • Unterstützter Aufbewahrungszeitraum: Sie können die erneute Analyse von Verlaufsdaten für bis zu 180 Tage (6 Monate) anfordern.
  • Aktiver Parser erforderlich: Bei Log Replay wird nur die aktive Parserversion angewendet. Sie können keine Parserkonfigurationen im Entwurfsstatus, inaktive oder archivierte Parserkonfigurationen verwenden.
  • Bereichsangabe: Die erneute Verarbeitung ist auf bestimmte Log-Typen und definierte Start- und Endzeitstempel im RFC 3339-UTC-Format beschränkt.
  • Unveränderlicher Rohspeicher: Bei Log Replay werden nur normalisierte UDM-Datensätze neu generiert. Die ursprünglichen Rohlogs bleiben im unveränderlichen Rohdaten-Repository unverändert.

Log-Wiedergabe-Aufgabe anfordern

So validieren Sie Ihren Parser und senden einen Log-Replay-Antrag:

Aktive Parserkonfiguration validieren

Prüfen Sie, ob der Zielparser oder die Zielparser-Erweiterung aktiv ist und Live-Telemetriedaten normalisiert, bevor Sie eine erneute Analyse von Verlaufsdaten anfordern.

  1. Rufen Sie in der Google SecOps-Konsole die SIEM-Einstellungen > Parser auf.

  2. Suchen Sie den gewünschten Logtyp und prüfen Sie, ob der aktualisierte vordefinierte Parser, benutzerdefinierte Parser oder die Parsererweiterung den Status Aktiv hat und eingehende Live-Logs wie erwartet normalisiert.

Supportanfrage einreichen

Reichen Sie ein Support-Ticket mit den erforderlichen Umfangsparametern ein, damit Google Cloud Support den Backend-Wiederholungsjob starten kann.

  1. Erstellen Sie über die Google Cloud Console eine Supportanfrage.

  2. Geben Sie in der Beschreibung der Supportanfrage die folgenden Details an:

    • Instanz-ID: Ihre Google SecOps-Kundeninstanz-ID und die zugehörige Google Cloud Projekt-ID.
    • Log-Typ: Das spezifische log_type-Label, das neu geparst werden soll (z. B. PAN_FIREWALL oder <var>CUSTOM_LOG_TYPE</var>).
    • Zielzeitraum: Die genauen Start- und Endzeitstempel im RFC 3339-UTC-Format (z. B. 2026-06-01T00:00:00Z bis 2026-08-31T23:59:59Z) innerhalb des unterstützten Limits von 180 Tagen.
    • Parserdetails: Die aktive Parserversion, der Name des benutzerdefinierten Parsers oder die ID der Parsererweiterung, die angewendet werden soll (Log Replay wendet nur die aktive Version an).
    • Geschäftliche Begründung: Eine kurze Zusammenfassung der Anforderung, z. B. die rückwirkende Feldnormalisierung oder die Untersuchung eines Vorfalls.

Beispiele und Referenzinformationen

Verwenden Sie die Vorlage in diesem Abschnitt, um Ihre Supportanfrage vorzubereiten.

Vorlage für Supportanfragen

Kopieren Sie die folgende Vorlage und füllen Sie sie aus, wenn Sie die Beschreibung Ihrer Supportanfrage einreichen:

Request type: Google SecOps Log Replay (historical re-parsing)
Customer instance ID: <YOUR_INSTANCE_ID>
Google Cloud project ID: <YOUR_PROJECT_ID>
Target log_type: <LOG_TYPE_LABEL>
Start timestamp (RFC 3339 UTC): 2026-06-01T00:00:00Z
End timestamp (RFC 3339 UTC): 2026-08-31T23:59:59Z
Active parser or extension ID: <ACTIVE_PARSER_NAME_OR_EXTENSION_ID>
Business justification: Retroactive UDM field normalization for active parser update

Fehlerbehebung

In diesem Abschnitt werden die Leistungserwartungen beschrieben und Self-Service-Lösungen für häufige Probleme bei der Log-Wiedergabe bereitgestellt.

Latenz und Limits

Nachdem Google Cloud Support die Aufgabe „Log Replay“ gestartet hat, wird der Prozess asynchron im Backend ausgeführt. Die Verarbeitungszeit hängt vom Gesamtvolumen der Logs im angegebenen Zeitraum ab. Da bei der Aufgabe bisherige Rohlogs verarbeitet werden, werden neu generierte UDM-Datensätze für diesen Zeitraum nach und nach durch frühere UDM-Datensätze ersetzt. Reichen Sie keine doppelten Supportanfragen für denselben Logtyp und dasselbe Zeitfenster ein, während ein Replay-Vorgang ausgeführt wird.

Fehlerbehebung

In dieser Tabelle finden Sie Informationen zur Behebung häufiger Probleme beim Anfordern oder Validieren einer Log-Wiedergabe.

Problem Beschreibung Korrigieren
Anfrage aufgrund eines inaktiven Parsers abgelehnt Der angeforderte benutzerdefinierte Parser oder die Parsererweiterung hat den Status Entwurf oder Ausstehend. Aktivieren Sie in den SIEM-Einstellungen > Parser die Parserkonfiguration, prüfen Sie, ob Live-Logs wie erwartet geparst werden, und reichen Sie den Supportfall noch einmal ein.
Anfrage aufgrund des Zeitfensterlimits abgelehnt Der angeforderte Startzeitstempel liegt mehr als 180 Tage in der Vergangenheit. Passen Sie die Start- und Endzeitstempel in der Beschreibung Ihres Supportfalls so an, dass sie in den unterstützten Aufbewahrungszeitraum von 180 Tagen fallen.
Aktualisierte UDM-Felder fehlen in der Suche In den UDM-Suchergebnissen für den Zielzeitraum werden die neuen Feldzuordnungen noch nicht angezeigt. Warten Sie, bis die asynchrone Back-End-Wiedergabeaufgabe den gesamten Zeitraum verarbeitet hat, und überprüfen Sie die Abfragesyntax in der SIEM-Suche.

Validierung und Tests

Nachdem Google Cloud Support bestätigt hat, dass die Aufgabe „Log Replay“ abgeschlossen ist, prüfen Sie die aktualisierten UDM-Datensätze in Ihrer Umgebung:

  1. Rufen Sie in der Google SecOps Console Investigation > SIEM Search auf.
  2. Legen Sie die Zeitauswahl so fest, dass sie mit den historischen Start- und Endzeitstempeln aus Ihrem Wiederholungsantrag übereinstimmt.
  3. Führen Sie eine UDM-Suchanfrage aus, die auf die neu zugeordneten UDM-Felder für Ihre log_type ausgerichtet ist, um zu bestätigen, dass für historische Ereignisse die normalisierten Attribute angezeigt werden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten