Definiciones de marcas de tiempo
En este documento, se explican las marcas de tiempo comunes para eventos y detecciones. Para obtener más información sobre las marcas de tiempo, consulta Función de fecha.
Las siguientes marcas de tiempo se relacionan con eventos:
- Marca de tiempo del evento: Hora en la que ocurrió un evento y se almacena en el campo
de UDM
metadata.event_timestamp
. Las reglas y las búsquedas de UDM usan el campometadata.event_timestamp
para las consultas. - Marca de tiempo recopilada: Hora en la que la infraestructura de recopilación local recopiló un evento, como el servidor de reenvío. Esto se almacena en el campo UDM
metadata.collected_timestamp
. - Marca de tiempo de transferencia: Hora en la que Google Security Operations transfirió un evento.
Esto se almacena en el campo de UDM
metadata.ingested_timestamp
.
Las siguientes marcas de tiempo se almacenan con las detecciones:
- Período de detección: Para las reglas con una sección
match
, se crea una detección durante el intervalo de tiempo, llamado período de detección. Las marcas de tiempo de los eventos que activaron la detección se encuentran dentro de la ventana de detección. - Marca de tiempo de detección: para las reglas con una sección
match
, la marca de tiempo de detección es la hora de finalización del período de detección. De lo contrario, la marca de tiempo de detección es elmetadata.event_timestamp
del evento que generó la detección. - Marca de tiempo de detección creada: Es la fecha y hora en que el motor de detección creó la detección.
Dónde aparecen las marcas de tiempo en la aplicación
En las siguientes secciones, se define dónde puedes ver estas marcas de tiempo en la IU.
Visualizador de eventos de UDM
Para abrir la vista Evento de UDM, haz lo siguiente:
- Realizar una búsqueda de UDM
- En la pestaña Eventos, selecciona un evento para abrir el Visor de eventos.
En el panel Evento de UDM, se muestran los siguientes datos:
- La marca de tiempo del evento se almacena en el campo de UDM
metadata.event_timestamp
(1). - La marca de tiempo transferida se almacena en el campo de UDM
metadata.ingested_timestamp
(2).
- La marca de tiempo del evento se almacena en el campo de UDM
Panel de detecciones
Para abrir la vista Detections, haz lo siguiente:
- Abre Detectaciones > Reglas y detecciones y, luego, haz clic en el botón Panel.
Haz clic en el vínculo del nombre de la regla, en la columna Nombre de la regla. Aparecerá el panel Detections y se mostrará lo siguiente:
- La marca de tiempo de la detección aparece en las filas que identifican una detección (1).
- La marca de tiempo del evento aparece en filas que identifican los eventos (2).
Vista de alerta
Para abrir la vista de Alerta, haz lo siguiente:
- Abre Detectaciones > Alertas e IOC.
- En la pestaña Alertas, haz clic en el vínculo del nombre de la alerta en la columna Nombre.
Haz clic en la pestaña Descripción general para mostrar lo siguiente:
- La marca de tiempo de creación de la alerta (o detección) aparece en el panel Detalles de la alerta > campo Creado (1).
- Aparece la ventana Detection en el panel Detection Summary > campo Detection window (2).
- La marca de tiempo de la detección aparece en el panel Detection Summary > campo Alerts detected at (3).