Google SecOps-Ereignisschema

In BigQuery werden in der Tabelle events UDM-Ereignisdatensätze gespeichert.

Das Feld hour_time_bucket identifiziert die Partition als die Stunde des Tages im UDM-Feld metadata.event_timestamp. Werte im Feld hour_time_bucket sind stündliche Zeitstempel im Format <YYYY-MM-DD HH:MM:SS UTC>. Hier sind Beispiele:

• 2022-05-20 00:00:00 UTC
• 2022-05-20 01:00:00 UTC
• 2022-05-20 02:00:00 UTC
• 2022-05-20 03:00:00 UTC

Der Wert 2022-05-20 00:00:00 UTC kennzeichnet beispielsweise Daten mit einem event_timestamp zwischen 2022-05-20 00:00:00 UTC und 2022-05-20 00:59:59 UTC. Weitere Informationen finden Sie unter Partitionierte Tabellen abfragen.

Wie lange es dauert, bis Daten in der Tabelle events angezeigt werden, hängt von der Differenz zwischen dem Zeitpunkt, zu dem das Gerät das Ereignis aufzeichnet (metadata.event_timestamp), und dem Zeitpunkt, zu dem das Ereignis in Google Security Operations SIEM aufgenommen wird (metadata.ingested_timestamp), ab.

Im Folgenden wird zusammengefasst, wie lange es dauert, bis Daten in der Tabelle events angezeigt werden, nachdem sie von Google Security Operations empfangen wurden:

• Wenn die Differenz weniger als zwei Stunden beträgt, werden die Daten etwa zwei Stunden nach der Aufnahme angezeigt.
• Wenn der Unterschied zwischen 2 und 24 Stunden liegt, kann es bis zu 4 Stunden dauern, bis die Daten nach der Aufnahme angezeigt werden.

• Wenn die Differenz mehr als 24 Stunden beträgt, kann es bis zu 5 Tage dauern, bis die Daten nach der Aufnahme angezeigt werden.

  Hinweis: Ein Ereignis gilt als „zukünftiges Ereignis“, wenn die metadata.event_timestamp eine spätere Zeit als die metadata.ingested_timestamp anzeigt. Diese Ereignisse werden nicht von der Echtzeitpipeline verarbeitet und sollten in etwa 3–4 Tagen in der Tabelle events angezeigt werden.

Das Schema der Tabelle events ändert sich regelmäßig. Informationen zur Tabelle, einschließlich des aktuellen Schemas, finden Sie in der BigQuery-Anleitung zum Abrufen von Tabelleninformationen.

So greifen Sie auf das events-Schema zu:

1. Öffnen Sie die Google Cloud Console und wählen Sie die Google SecOps-Projekt-ID aus, die Ihnen Ihr Google SecOps-Ansprechpartner mitgeteilt hat.

2. Wählen Sie BigQuery > BigQuery Studio > datalake > events aus.

   

   Abbildung: Tabelle events in BigQuery

Events-Datenmodell für Dashboards

In eingebetteten Google SecOps-Dashboards sehen Sie die Datenstruktur UDM-Ereignisse. Dies ist ein Looker-Datenmodell, das für die Tabelle events in BigQuery erstellt wurde.

Die Tabelle enthält die am häufigsten verwendeten UDM-Felder. Es enthält nicht alle UDM-Felder. Wenn Sie fehlende UDM-Felder in ein personalisiertes Dashboard einbinden möchten, wenden Sie sich an Ihren Google SecOps-Ansprechpartner.

So rufen Sie Felder in diesem Explore auf:

1. Klicken Sie in der Navigationsleiste auf Dashboards.
2. Erstellen Sie ein neues Dashboard (klicken Sie auf Hinzufügen > Neu erstellen) oder bearbeiten Sie ein vorhandenes Dashboard.
3. Füge eine Kachel hinzu.
4. Wählen Sie als Typ Visualisierung aus, wenn Sie dazu aufgefordert werden.
5. Wählen Sie in der Liste der Tabellen UDM-Ereignisse aus.

6. Sehen Sie sich die Liste der Felder an.

   

   Abbildung: Feldliste im Google SecOps-Ereignisdatenmodell

Nächste Schritte

• Eine Beschreibung der einzelnen UDM-Felder finden Sie in der Feldliste für das Unified Data Model.
• Informationen zum Zugriff auf und zum Ausführen von Abfragen in BigQuery finden Sie unter Interaktive und Batch-Abfragejobs ausführen.
• Informationen zum Abfragen partitionierter Tabellen finden Sie unter Partitionierte Tabellen abfragen.
• Informationen zum Verbinden von Looker mit BigQuery finden Sie in der Looker-Dokumentation unter Mit BigQuery verbinden.
• Informationen zum Abfragen partitionierter Tabellen.