时间戳定义
支持以下语言:
Google SecOps
SIEM
本文档介绍了事件和检测的常用时间戳。 如需详细了解时间戳,请参阅日期函数。
以下时间戳与事件相关:
- 事件时间戳:事件发生的时间,存储在
metadata.event_timestamp
中 UDM 字段。规则和 UDM 搜索会使用metadata.event_timestamp
字段进行查询。 - 收集的时间戳:本地数据收集事件收集事件的时间
例如转发器此值存储在
metadata.collected_timestamp
UDM 字段中。 - 提取时间戳:Google Security Operations 提取事件的时间。此信息存储在
metadata.ingested_timestamp
UDM 字段中。
系统会将以下时间戳与检测结果一起存储:
- 检测窗口:对于包含
match
部分的规则,系统会在相应时间范围内创建检测,该时间范围称为检测窗口。触发检测的事件的事件时间戳 在检测窗口内。 - 检测时间戳:对于包含
match
部分的规则,检测 timestamp 是检测窗口的结束时间。否则, timestamp 是生成metadata.event_timestamp
检测。 - 检测创建时间戳:创建检测的日期和时间 检测引擎。
时间戳在应用中的显示位置
以下部分定义了在界面中的什么位置查看这些时间戳。
UDM 事件查看器
如需打开 UDM 事件视图,请执行以下操作:
- 执行 UDM 搜索。
- 在事件标签页中,选择一个事件以打开 事件查看器
UDM 事件窗格会显示以下数据:
- 事件时间戳存储在
metadata.event_timestamp
UDM 字段 (1) 中。 - 提取的时间戳存储在
metadata.ingested_timestamp
UDM 字段 (2) 中。
- 事件时间戳存储在
“检测”面板
如需打开检测视图,请执行以下操作:
- 打开检测 >规则和检测,然后点击信息中心按钮。
点击规则名称列下的规则名称链接。系统随即会显示检测面板,并显示以下内容:
- 检测时间戳显示在用于标识检测的行中 (1)。
- 事件时间戳会显示在用于标识事件 (2) 的行中。
提醒视图
如需打开提醒视图,请执行以下操作:
- 依次打开检测 > 提醒和 IOC。
- 在提醒标签页下,点击名称列中的提醒名称链接。
点击概览标签页以显示以下内容:
- 提醒(或检测)创建时间戳显示在提醒详情窗格 > 创建时间字段 (1) 中。
- 检测窗口显示在检测摘要窗格 > 检测窗口字段 (2) 中。
- 检测时间戳显示在检测摘要窗格 > 检测到提醒的时间字段 (3) 中。