Analizzare nuovamente i dati storici (Log Replay)

Supportato in:

Questa guida è rivolta agli ingegneri della sicurezza e agli ingegneri del rilevamento che vogliono analizzare nuovamente i dati dei log storici in Google Security Operations utilizzando Log Replay. Spiega come convalidare una configurazione del parser attiva e richiedere un'attività di riproduzione dei log di backend tramite Google Cloud Supporto per il backfill dei mapping dei campi Unified Data Model (UDM) aggiornati in un massimo di 180 giorni di telemetria storica. Seguendo questo metodo, puoi applicare parser predefiniti aggiornati, parser personalizzati o estensioni del parser ai log non elaborati archiviati quando le nuove istruzioni di mappatura vengono applicate solo ai log appena inseriti. Il completamento riuscito migliora la copertura delle regole di rilevamento e di ricerca delle minacce storiche senza richiedere la re-importazione manuale dei log dagli endpoint di origine.

Casi d'uso comuni

L'analisi dei log storici risolve i seguenti scenari operativi:

Normalizzazione retroattiva dei campi

  • Obiettivo: riempi i campi UDM appena mappati nei log storici dopo aver attivato un aggiornamento del parser predefinito, un parser personalizzato o un'estensione del parser.
  • Valore: mantiene la coerenza della possibilità di ricerca nei dati storici e in tempo reale senza richiedere la re-importazione manuale dagli endpoint di origine.

Ricerca delle minacce in Esplora log

  • Obiettivo: esegui query sui log storici utilizzando gli attributi UDM appena mappati per esaminare l'attività passata degli autori delle minacce.
  • Valore: accelera la risposta agli incidenti mostrando gli indicatori di compromissione (IOC) storici che in precedenza non erano mappati nel testo dei log non elaborati.

Valutazione delle regole di rilevamento storico

  • Obiettivo: valuta le regole di rilevamento YARA-L in base ai dati dei log passati che richiedono campi UDM normalizzati specifici.
  • Valore: impedisce i falsi negativi quando si valuta la logica di rilevamento aggiornata rispetto agli eventi storici.

Terminologia chiave

  • Log Replay: il servizio di backend in Google SecOps che rielabora i log non elaborati archiviati tramite una configurazione del parser attiva per generare record UDM aggiornati.
  • Unified Data Model (UDM): lo schema standardizzato utilizzato da Google SecOps per normalizzare la telemetria di sicurezza per la ricerca, le dashboard e le regole di rilevamento.
  • Repository non modificabile: il livello di archiviazione sottostante che conserva i log non elaborati originali e non modificati per la conformità, l'audit e l'analisi storica.

Prima di iniziare

Prima di richiedere un'attività di riproduzione dei log, verifica di soddisfare i seguenti requisiti:

  • Autorizzazioni: devi disporre delle seguenti autorizzazioni:

    • Visualizzare e gestire le configurazioni del parser in Google SecOps (ad esempio il ruolo Editor API Chronicle).
    • Crea richieste di assistenza nella console Google Cloud (ad esempio il ruolo Editor assistenza tecnica, roles/cloudsupport.techSupportEditor).

  • Controllo dell'ambiente: conferma di avere l'ID istanza cliente Google SecOps e l'ID progetto Google Cloud associato.

Limitazioni

Log Replay opera entro i seguenti limiti di supporto:

  • Finestra di conservazione supportata: puoi richiedere l'analisi storica per un massimo di 180 giorni (6 mesi) di dati di log storici.
  • È necessario un parser attivo: Log Replay applica solo la versione del parser attivo. Non puoi utilizzare configurazioni del parser bozza, non attive o archiviate.
  • Specifica dell'ambito: l'analisi viene eseguita su tipi di log specifici e su timestamp di inizio e fine definiti nel formato RFC 3339 UTC.
  • Archiviazione non modificabile non elaborata: Log Replay rigenera solo i record UDM normalizzati. I log non elaborati originali rimangono invariati nel repository non modificabile.

Richiedi un'attività di riproduzione dei log

Per convalidare il parser e inviare una richiesta di riproduzione dei log, procedi nel seguente modo.

Convalida la configurazione del parser attivo

Prima di richiedere l'analisi storica, verifica che il parser o l'estensione del parser di destinazione sia attivo e normalizzi la telemetria live.

  1. Nella console Google SecOps, vai a Impostazioni SIEM > Parser.

  2. Individua il tipo di log di destinazione e verifica che il parser predefinito aggiornato, il parser personalizzato o l'estensione del parser abbia lo stato Attivo e normalizzi i log in entrata in tempo reale come previsto.

Invia la richiesta di assistenza

Invia un ticket di assistenza con i parametri di ambito richiesti in modo che Google Cloud l'assistenza possa avviare il job di riproduzione del backend.

  1. Apri una richiesta di assistenza utilizzando la Google Cloud console.

  2. Nella descrizione della richiesta di assistenza, includi i seguenti dettagli:

    • Identificatore istanza: l'ID istanza cliente Google SecOps e l'ID progetto Google Cloud associato.
    • Tipo di log: l'etichetta log_type specifica da analizzare nuovamente (ad esempio PAN_FIREWALL o <var>CUSTOM_LOG_TYPE</var>).
    • Intervallo di tempo target: i timestamp di inizio e fine precisi nel formato UTC RFC 3339 (ad esempio, da 2026-06-01T00:00:00Z a 2026-08-31T23:59:59Z), entro il limite supportato di 180 giorni.
    • Dettagli del parser: la versione del parser attiva, il nome del parser personalizzato o l'ID estensione del parser da applicare (Log Replay applica solo la versione attiva).
    • Giustificazione aziendale: un breve riepilogo del requisito, ad esempio la normalizzazione retroattiva dei campi o l'indagine sugli incidenti.

Esempi e informazioni di riferimento

Utilizza il modello in questa sezione per preparare la richiesta di assistenza.

Modello di richiesta di assistenza

Copia e compila il seguente modello quando invii la descrizione della richiesta di assistenza:

Request type: Google SecOps Log Replay (historical re-parsing)
Customer instance ID: <YOUR_INSTANCE_ID>
Google Cloud project ID: <YOUR_PROJECT_ID>
Target log_type: <LOG_TYPE_LABEL>
Start timestamp (RFC 3339 UTC): 2026-06-01T00:00:00Z
End timestamp (RFC 3339 UTC): 2026-08-31T23:59:59Z
Active parser or extension ID: <ACTIVE_PARSER_NAME_OR_EXTENSION_ID>
Business justification: Retroactive UDM field normalization for active parser update

Risoluzione dei problemi

Questa sezione descrive le aspettative di rendimento e fornisce soluzioni self-service per i problemi comuni di Log Replay.

Latenza e limiti

Dopo che l'assistenza di Google Cloud avvia l'attività di riproduzione dei log, il processo viene eseguito in modo asincrono nel backend. Il tempo di elaborazione dipende dal volume complessivo dei log all'interno dell'intervallo di tempo specificato. Man mano che l'attività elabora i log non elaborati storici, i record UDM appena generati sostituiscono in modo incrementale i record UDM precedenti per l'intervallo di tempo. Non inviare richieste di assistenza duplicate per lo stesso tipo di log e intervallo di tempo durante l'esecuzione di un'attività di replay.

Correzione degli errori

Utilizza questa tabella per risolvere i problemi comuni durante la richiesta o la convalida di un'attività di replay dei log.

Problema Descrizione Correggi
Richiesta rifiutata a causa del parser inattivo Il parser personalizzato o l'estensione del parser richiesti sono in stato Bozza o In attesa. In Impostazioni SIEM > Parser, attiva la configurazione del parser, verifica che i log live vengano analizzati come previsto e invia nuovamente la richiesta di assistenza.
Richiesta rifiutata a causa del limite della finestra temporale Il timestamp di inizio richiesto risale a più di 180 giorni fa. Modifica i timestamp di inizio e fine nella descrizione della richiesta di assistenza in modo che rientrino nella finestra di conservazione supportata di 180 giorni.
Campi UDM aggiornati mancanti nella ricerca I risultati di ricerca UDM per l'intervallo di tempo target non mostrano ancora le nuove mappature dei campi. Attendi che l'attività di riproduzione asincrona del backend termini l'elaborazione dell'intervallo di tempo completo e verifica la sintassi della query in SIEM Search.

Convalida e test

Dopo che l'assistenza Google Cloud conferma il completamento dell'attività di replay dei log, verifica i record UDM aggiornati nel tuo ambiente:

  1. Nella console Google SecOps, vai a Indagine > Ricerca SIEM.
  2. Imposta il selettore dell'intervallo di tempo in modo che corrisponda ai timestamp di inizio e di fine storici della richiesta di replay.
  3. Esegui una query di ricerca UDM che abbia come target i campi UDM appena mappati per il tuo log_type per verificare che gli eventi storici mostrino gli attributi normalizzati.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.