監控資料來源的健康狀態

支援的服務：

本指南適用於資安工程師，說明如何在 Google Security Operations 監控資料擷取、剖析和延遲時間的健康狀態。說明如何使用健康狀態中心，找出、診斷及開始修正影響資料管道的問題。您可以透過健康狀態中心快速偵測及解決問題，有助於維持資料品質，並確保安全監控成效。

「健康狀態中心」是 Google SecOps 的中央位置，可讓您監控所有已設定資料來源的狀態和健康狀態。這項功能會提供資料來源、記錄類型和延遲時間等重要資訊，協助您診斷及修正資料管道問題。

健康中心包含下列資訊：

  • 擷取量和擷取健康狀態
  • 從原始記錄剖析至統合式資料模型 (UDM) 事件的資料量
  • 資料來源和記錄類型的延遲時間指標
  • 背景資訊和介面連結，提供其他相關資訊和功能
  • 異常和失敗的來源和記錄類型

健康狀態中心會偵測每位客戶的異常狀況和故障情形。這項功能會使用統計方法，並以 15 天的回溯期分析擷取資料。標示為「異常」的項目，代表 Google SecOps 擷取及處理的資料量激增或驟減。異常情況可能表示剖析器發生問題、供應商結構定義變更，或資料管道有所異動。

重要術語

  • Health Hub：Google SecOps 的中央介面，用於監控資料來源的狀態和健康情況。
  • 異常：異常偵測引擎偵測到資料來源或剖析器的資料量異常激增或下降，或錯誤率大幅變動。
  • 統合式資料模型 (UDM)：Google SecOps 中用於表示安全性事件的標準化資料結構。

事前準備

使用健康狀態中心前，請確認您獲派的角色具備監控和回報所需的 Identity and Access Management (IAM) 權限。如果您無法存取健康中心，請與管理員聯絡。

標準預先定義角色

下列預先定義的 IAM 角色通常具備健康狀態中心功能的存取權：

  • Chronicle API 管理員 (roles/chronicle.admin)
  • Chronicle API 編輯者 (roles/chronicle.editor)
  • Chronicle API 檢視者 (roles/chronicle.viewer)
  • Chronicle API 有限檢視者 (roles/chronicle.limitedViewer)

特定權限

與健康中心顯示的資料 (例如擷取的位元組數和記錄數量) 相關聯的重要權限是 chronicle.instances.report。管理員、編輯者、檢視者和受限檢視者角色都具有這項權限。

整合功能的其他權限

由於健康中心與其他 Google Cloud 服務整合，可提供警告和深入調查功能，因此可能需要額外權限才能使用完整功能：

  • Cloud Monitoring：如要根據健康狀態中心顯示的健康指標設定警告，使用者必須具備 Cloud Monitoring 的適當權限。
  • 特定功能存取權：如要直接從 Health Hub 編輯動態饋給或剖析器等，必須具備相應的編輯權限 (例如 chronicle.feeds.update 或 chronicle.parsers.activate)。

存取 Health Hub

  • 如要存取健康中心，請在側邊導覽選單中，按一下「健康中心」。

健康狀態中心是唯讀的預設資訊主頁，無法直接修改。如要自訂，請建立 Health Hub 副本，然後根據特定用途修改複製的資訊主頁。

瞭解並使用 Health Hub 介面

本節將說明健康狀態中心介面及其元件，協助您找出、診斷並開始修復影響資料管道的問題。

健康中心包含下列部分：

Health 資訊中心小工具

健康中心會顯示下列小工具：

  • 大數字小工具：

    • 健康狀態良好的來源：運作正常且沒有異常狀況的資料來源數量。
    • 失敗的來源：需要立即處理的資料來源數量。
    • 不規則資料來源：不規則資料來源和剖析器的數量。
    • 健康狀態良好的剖析器：執行時未發生錯誤的剖析器數量。
    • 剖析器失敗：需要立即處理的剖析器數量。
    • 不規則剖析器：行為不規則的剖析器數量。

  • 資料來源健康狀態總覽：折線圖，顯示「健康」、「不正常」和「失敗」資料來源每日曲線在一段時間內的變化。

  • 剖析健康狀態總覽：折線圖，顯示「健康」、「不規則」和「失敗」剖析器每日曲線。

  • Total Ingested Logs：折線圖，顯示擷取的記錄每日記錄曲線。

  • Failing Parser by Log Type：折線圖，顯示健康狀態為「失敗」的每個剖析器，在一段時間內每天的曲線。在這種情況下，健康狀態為「失敗」是因為剖析成功率極低。

監控資料來源和記錄類型的健康狀態

「Health Status Monitoring」(健康狀態監控) 專區包含下列表格：

「依資料來源劃分的健康狀態」表格

「Health Status by Data Source」(依資料來源顯示健康狀態) 表格包含下列資料欄：

欄 說明
Status 資料動態饋給的累計狀態 (「正常」、「異常」或「失敗」)，依據資料量、設定錯誤和 API 錯誤判定。
來源類型 來源類型 (擷取機制)，例如「Ingestion API」、「Feeds」、「Native Google Workspace Ingestion」或「Azure Event Hub Feeds」。
名稱 動態饋給名稱。
記錄類型 記錄類型，例如 CS_EDR、UDM、GCP_CLOUDAUDIT 或 WINEVTLOG。
最新問題詳細資料 指定時間範圍內最新問題的詳細資料，例如「剖析記錄失敗」、「設定憑證問題」或「正規化問題」。所述問題可能是可採取行動 (例如「驗證不正確」)，也可能是無法採取行動 (例如「Internal_error」)。如果問題無法採取行動，應變措施建議是向 Google SecOps 提交客服案件。如果指定時間範圍內沒有任何問題，這個值會是空白或顯示 OK。
問題持續時間 資料來源處於異常或失敗狀態的天數。如果「狀態」為「健康」，這個值會是空白或顯示 N/A。
上次收集時間 上次收集資料的時間戳記。
注意：即使之後擷取了較舊的事件，這個值一律會是「最新」時間戳記。
上次擷取時間 上次成功擷取的時間戳記。這項指標可用來判斷記錄是否傳送至 Google SecOps。
設定上次更新時間 上次變更指標的時間戳記。這個值可用於將設定更新與觀察到的異常或失敗情形建立關聯，協助您判斷擷取或剖析問題的根本原因。
查看攝入詳細資料 包含「Dashboard」連結，點選後會在新分頁開啟「Data Health Deep Dive」資訊主頁。「Data Health Deep Dive」資訊主頁包含其他歷來資訊，可供深入分析。
編輯資料來源 點選連結後，系統會在新分頁開啟對應的動態饋給設定，方便你修正設定相關的異常狀況或失敗問題。
設定快訊 連結：點選後會在新分頁開啟對應的 Cloud Monitoring 介面。接著，您可以使用「狀態」和記錄量指標，設定自訂 API 警示

以下螢幕截圖顯示「Health Status by Data Source」(依資料來源顯示健康狀態) 表格，其中包含詳細說明設定失敗的錯誤彈出式視窗：

健康狀態中心「依資料來源劃分的健康狀態」表格，其中醒目顯示「動態饋給設定錯誤」彈出式視窗，指出憑證未經授權。

「Health Status by Parser」(剖析器健康狀態) 表格

「Health Status by Parser」(剖析器健康狀態) 表格包含下列資料欄：

欄 說明
Status 記錄類型的累計狀態 (「正常」、「異常」或「失敗」)。
最新問題詳細資料 指定時間範圍內最新剖析問題的詳細資料，例如「剖析記錄失敗」、「設定憑證問題」或「正規化問題」。所述問題可能是可採取行動 (例如「驗證不正確」)，也可能是無法採取行動 (例如「Internal_error」)。如果問題無法採取行動，應變措施建議是向 Google SecOps 提交客服案件。如果指定時間範圍內沒有任何問題，這個值會是空白或顯示 OK。
上次擷取時間 上次成功擷取的時間戳記。這項指標可用來判斷記錄是否傳送至 Google SecOps。
上次事件時間 最後一筆標準化記錄的事件時間戳記。
注意：這個值一律是「最新」時間戳記，即使較舊的事件是在之後擷取也一樣。
上次正規化時間 記錄類型上次剖析和正規化動作的時間戳記。您可以根據這項指標，判斷原始記錄是否成功轉換為 UDM 事件。
設定上次更新時間 上次變更指標的時間戳記。這個值可用於將設定更新與觀察到的異常或失敗情形建立關聯，協助您判斷擷取或剖析問題的根本原因。
查看剖析詳細資料 包含「Dashboard」連結，點選後會在新分頁開啟「Data Health Deep Dive」資訊主頁。「Data Health Deep Dive」資訊主頁包含其他歷來資訊，可供深入分析。
編輯剖析器 連結：點選後會在新分頁開啟對應的剖析器設定，您可以在這裡修正設定相關的異常狀況或失敗。
設定快訊 連結：點選後會開啟新分頁，顯示對應的 Cloud Monitoring 介面。

監控資料來源和記錄類型的延遲狀態

健康狀態中心提供延遲狀態監控功能，可提升端對端能見度，並縮短偵測延遲記錄的平均時間 (MTTD)。Google SecOps 會在來源層級和記錄類型層級計算延遲時間。

健康狀態中心的「延遲狀態監控」部分包含下列表格：

「Latency Status by Source」(依來源顯示延遲狀態) 表格

「Latency Status by Source」(依來源顯示延遲狀態) 表格會顯示各個來源 (例如 Bindplane 收集器或第三方 API) 的延遲指標，並包含下列資料欄：

欄 說明
來源類型 擷取機制，例如 Ingestion API 或動態饋給。
名稱 特定動態饋給或來源的名稱。
記錄類型 記錄類型，例如 CS_EDR 或 WINEVTLOG。
來源到擷取延遲時間 (P95) 95% 的原始記錄從產生到傳送至 Google SecOps 並擷取所需的最長時間。這項指標會測量事件 (原始記錄) 建立時間與擷取時間之間的差異。
SecOps 擷取延遲時間 (P95) 從 Google SecOps 收集記錄到完全擷取記錄的最長時間。這項指標會衡量收集時間與擷取時間之間的差距。
輪詢頻率 如果是提取機制，這代表 Google SecOps 檢查來源是否有新資料的頻率。
回溯期 如果是第三方 API，這代表系統在每次移轉時，會擷取多久以前的記錄。
查看 包含「資訊主頁」連結，點選後會開啟新分頁，顯示「資料健康狀態深入分析」資訊主頁，並篩選出這個特定來源。

「Latency Status by Log Type」(依記錄類型顯示延遲狀態) 表格

「Latency Status by Log Type」(依記錄類型顯示延遲時間狀態) 表格會顯示各記錄類型的匯總延遲時間指標，並包含下列資料欄：

欄 說明
記錄類型 受監控的記錄類型。
來源到擷取延遲時間 (P95) 特定記錄類型從事件產生到擷取的整體 P95 延遲時間，匯總所有來源的資料。
查看 包含「資訊主頁」連結，點選後會開啟新分頁，顯示「資料健康狀態深入分析」資訊主頁，並依這個特定記錄類型篩選。

找出並調查資料擷取和剖析問題 (深入探討)

本節說明如何使用健康狀態中心，找出並調查一些常見的資料擷取和剖析問題。

調查動態饋給執行作業和剖析器狀態

如要調查動態饋給執行作業和剖析器狀態，請按照下列步驟操作：

  1. 前往「Health Status by Data Source」或「Health Status by Parser」表格，然後找到要調查狀態的項目所在資料列。
  2. 按一下「資訊主頁」連結。「資料健康狀態深入分析」資訊主頁隨即開啟。資訊主頁會顯示該特定資料列最近 2000 次的動態饋給執行作業，以及最近 200 次的剖析器錯誤。

確認記錄檔已傳送至 Google SecOps

如要確認記錄是否傳送至 Google SecOps，請按照下列步驟操作：

  • 查看「上次擷取時間」和「上次正規化時間」指標 (分別位於「Health Status by Data Source」和「Health Status by Parser」表格)。這些指標會確認上次成功傳送資料的時間。
  • 查看擷取量指標 (依來源和記錄類型區分)，瞭解擷取的資料量。

確認記錄剖析正確

  • 如要確認記錄是否正確剖析，請前往「Health Status by Parser」(剖析器健康狀態) 表格，查看「Last Normalized」(上次正規化) 指標。這項指標會指出上次成功將原始記錄轉換為 UDM 事件的時間。

找出音量變化顯著的部分

如要找出顯著的數量變化，請按照下列步驟操作：

  • 查看「狀態」欄位，系統會根據資料量顯示資料健康狀態 (「健康」或「失敗」)。
  • 查看「Total Ingested Logs」(擷取的記錄總數) 圖表，找出突然或持續激增或下降的情況。

設定來源失敗警告

健康狀態中心會將「狀態」和記錄量指標饋送至 Cloud Monitoring。

如要為失敗的來源設定快訊，請按照下列步驟操作：

  1. 在其中一個 Health Hub 表格中，按一下相關的「快訊」連結，開啟 Cloud Monitoring 介面。
  2. 使用狀態和記錄量指標，設定自訂 API 警告。

推論記錄類型擷取作業的延遲時間

  • 如要推斷記錄類型擷取作業的延遲時間，請比較「上次事件時間」和「上次擷取時間」時間戳記。如果「上次事件時間」明顯晚於「上次擷取時間」時間戳記，就表示有延遲。健康狀態中心會顯示各記錄類型的「上次擷取時間」和「上次事件時間」差異的第 95 個百分位數th。如果值偏高，代表 Google SecOps 管道有延遲問題；如果值正常，則可能表示來源推送的是舊資料。
  • 如要查看歷來健康狀態趨勢，請參閱「資料來源健康狀態總覽」、「剖析健康狀態總覽」和「擷取的記錄總數」圖表，這些圖表會顯示資料健康狀態的歷來趨勢，方便您觀察長期模式和異常狀況。

找出資料擷取問題

如果您懷疑資料來源無法傳送記錄，或記錄未顯示在 Google SecOps 中，請按照下列步驟操作，確認資料是否成功送達並處理：

  1. 檢查音量是否突然下降：

    • 查看「Total Ingested Logs」(擷取的記錄總數) 小工具，找出記錄量是否突然或持續激增或驟降。如果大幅下降，可能表示來源已中斷連線。
    • 查看「失敗」和「不正常」資料來源。

  2. 驗證資料擷取：

    1. 在「Health status by data source」(依資料來源劃分的健康狀態) 表格中，查看「Last Ingested」(上次擷取時間) 指標。這個時間戳記會顯示上次成功擷取的時間，方便您判斷該特定動態饋給或 API 的記錄是否主動傳送至 Google SecOps。
    2. 比較「上次擷取」指標和「上次收集」時間戳記，後者代表 Google SecOps 上次收到事件的時間 (即使酬載為空白)。

  3. 驗證記錄剖析和正規化：

    即使資料已擷取，您仍須確保剖析器設定正確，並成功將記錄剖析為 Unified Data Model (UDM) 事件。

    1. 在「Health Status by Parser」(剖析器健康狀態) 表格中，查看「Last Normalized」(上次正規化) 指標，確認上次成功將原始記錄轉換為 UDM 事件的時間。如果來源未擷取，在健康狀態中心會標示為「不正常」或「失敗」。

    2. 如要進一步分析，請按一下「查看擷取詳細資料」欄中的「資訊主頁」連結，開啟「資料健康狀態深入分析」資訊主頁。

  4. 分析特定動態饋給的每日擷取事件：

    1. 前往要調查的記錄類型所屬的「Data Health Deep Dive」資訊主頁。
    2. 查看「Ingestion - Events by Status」表格，確認過去幾天內擷取的確切記錄數量。這有助於確認流量是突然歸零，還是逐漸下滑。
    3. 查看「Log Count by Feed ID」和「Log Count by Collector ID & Log Type」圖表，篩選至單一動態饋給或收集器層級。

  5. 檢查 burst 拒絕和配額限制：如果擷取的記錄數量低於預期，請查看「Burst Limit Graph - Quota Limit」(burst 限制圖表 - 配額限制) 和「Burst Rejection Graph」(burst 拒絕圖表)。如要進一步瞭解 burst 限制，請參閱「瞭解配額和 burst 限制」。

調查延遲的記錄

記錄延遲可能發生在資料到達 Google SecOps 之前 (在記錄來源)，或在 Google SecOps 擷取管道中的某個位置。

如要調查延遲的記錄，請按照下列步驟操作：

  1. 比較下列時間戳記，找出並評估延遲時間：

    • 上次事件時間 (在「Health Status by Parser」表格中)：上次正規化記錄的事件時間戳記。
    • 上次收集時間 (在「Health Status by Data Source」表格中)：上次資料收集的時間戳記 (Google SecOps 收到事件的時間)。
    • 上次擷取時間 (兩個表格皆有)：上次成功擷取的時間戳記。

  2. 找出延遲來源：

    • 來源/網路延遲：如果「上次事件時間」和「上次收集時間」之間的延遲時間過長，問題可能發生在來源端。
    • Google SecOps 管道延遲：如果「Health Status by Data Source」(依資料來源顯示健康狀態) 表格中的「Last Collected Time」(上次收集時間) 和「Last Ingested Time」(上次擷取時間) 之間有明顯延遲，表示資料已到達 Google SecOps，但在處理過程中延遲。收集和擷取時間之間的延遲時間過長，通常表示 Google SecOps 管道內有問題，這種情況可能會在超出配額時發生。

    您可以直接在「Health Status by Parser」(剖析器健康狀態) 表格中，查看「Last Event Time」(上次事件時間) 是否明顯晚於「Last Ingested」(上次擷取) 時間戳記，藉此推斷整體延遲時間。

    如果時間戳記顯示收集和擷取之間有延遲，資料健康狀態深入分析資訊主頁可協助以圖表呈現流量，並找出異常的動態饋給執行模式。

  3. 查看擷取處理量異常狀況：

    1. 在「Data Health Deep Dive」(資料健康狀態深入分析) 資訊主頁中，查看「LogType Ingestion Rate Per Hour」(每小時記錄類型擷取率) 或「Ingestion rate/log volume per hour」(每小時擷取率/記錄量) 圖表。

    2. 請留意是否有不尋常的間隔，隨後出現大量尖峰，這通常表示收集器或來源的批次處理作業延遲。

  4. 查看動態饋給執行頻率：查看「動態饋給執行記錄 (最近 2,000 次執行)」和「執行記錄 (最近 2,000 次執行)」圖表，確認排定的動態饋給是否按照預期頻率執行。

找出並修正動態饋給和剖析錯誤

如果因設定問題、憑證錯誤或結構定義變更，導致記錄無法正確擷取或剖析，Health Hub 會將來源或剖析器標示為「不正常」或「失敗」。

如要找出並修正動態饋給和剖析錯誤，請按照下列步驟操作：

  1. 找出可採取行動和無法採取行動的錯誤：查看「Health Status by Data Source」或「Health Status by parser」表格中的「Latest Issue Details」欄，找出指定時間範圍內最新問題的詳細資料。文字會指出特定問題，協助您判斷該動作是可採取行動 (由您修正) 還是無法採取行動 (需要支援)。Forbidden 403: Permission denied (禁止 403：權限遭拒) 屬於可採取行動的錯誤，表示動態饋給設定中提供的驗證帳戶缺少必要權限。文字 Internal_error 是無法採取行動的錯誤範例。

  2. 執行下列任一操作：

    • 如果錯誤無法解決，請向 Google SecOps 提交客服案件。

    • 如果錯誤是可採取行動的錯誤，請執行下列操作：

      1. 將錯誤與最近的設定變更建立關聯：如果錯誤是可採取行動的錯誤，請檢查「設定上次更新時間」時間戳記是否接近「上次擷取時間」時間戳記。如果「設定上次更新時間」時間戳記接近「上次擷取時間」時間戳記，表示最近的設定更新可能是失敗原因。這項關聯有助於分析根本原因。

      2. 找出確切的失敗階段：

        如果健康中心顯示異常或失敗狀態，請前往「資料健康深入分析」資訊主頁，找出確切的歷來錯誤訊息，並找出事件故障的位置。

        1. 開啟「Data Health Deep Dive」資訊主頁，查看「Ingestion - Events by Status」表格。
        2. 比較擷取的記錄數量與特定錯誤欄：「剖析錯誤」、「驗證錯誤」和「索引錯誤」。這有助於判斷失敗是發生在初始剖析、UDM 驗證，還是最終索引階段。
        3. 查看詳細的剖析器錯誤記錄：前往「Parser Error History (Last 200 errors)」(剖析器錯誤記錄 (最近 200 個錯誤)) 表格，查看近期問題的時間順序記錄。

      3. 自行解決常見問題。使用連結編輯設定，並直接修正常見問題 (另請參閱「自行修正資料健康狀態問題」)：

        • 驗證或憑證不正確：如果看到授權錯誤，請按一下「Health Status by Data Source」(依資料來源顯示健康狀態) 表格中的「Edit Data Source」(編輯資料來源) 連結，然後使用正確的驗證憑證編輯資料來源設定。
        • 剖析或正規化失敗問題：如果記錄無法剖析或正確對應至 UDM，請按一下「Health Status by Parser」表格中的「Edit Parser」連結，查看剖析器設定，並視需要調整剖析器設定。

      4. 驗證修正結果：調整後，請監控健康狀態中心，確認受影響資料來源或剖析器的「狀態」變更為「健康」，且「最新問題詳細資料」欄位變為空白或顯示「正常」。

找出並調查延遲問題 (深入探討)

本節說明如何使用健康狀態中心和「Data Health Deep Dive」(資料健康狀態深入分析) 資訊主頁，找出並調查記錄延遲的根本原因。

如要調查延遲問題，並判斷延遲是來自來源還是 Google SecOps 管道，請按照下列步驟操作：

  1. 在健康狀態中心，查看「Latency Status by Log Type」(依記錄類型顯示的延遲狀態) 表格，找出「Source to Ingestion Latency」(來源到擷取延遲時間) 異常偏高的記錄類型。
  2. 依受影響的記錄類型篩選「Latency Status by Source」(依來源顯示延遲狀態) 表格，找出導致延遲異常的特定來源。
  3. 按一下受影響來源或記錄類型的「資訊主頁」連結，開啟「資料健康狀態深入分析」資訊主頁。深入分析資訊主頁會顯示 P50、P90 和 P95 延遲時間的歷來折線圖。
  4. 比較所選時間範圍內的「Source to Ingestion Latency」(來源到擷取延遲時間) 圖表和「SecOps Ingestion Latency」(SecOps 擷取延遲時間) 圖表：
    • Google SecOps 管道延遲：如果「來源到擷取延遲時間」和「SecOps 擷取延遲時間」同時激增，延遲可能發生在 Google SecOps 處理期間。
    • 來源或網路延遲：如果「來源到擷取延遲時間」激增，但「SecOps 擷取延遲時間」保持穩定且不受影響，則可判定延遲是由資料到達 Google SecOps 之前的外部因素造成 (例如 Bindplane 收集器待處理項目或來源 API 發生問題)。

自行修正資料健康狀態問題

如要自行修復資料健康狀態問題，請按照下列步驟操作：

  1. 請參閱下表，找出問題和原因，並採取建議的修復措施：

    問題 原因 建議的修復措施
    驗證不正確 動態饋給設定中提供的驗證帳戶缺少必要權限。 在「Health Status by Data Source」表格中，點選「Edit Data Source」連結，編輯資料來源設定並修正驗證憑證。
    Internal_error Internal-error，也就是發生內部系統錯誤。 向 Google SecOps 提交客服案件。
    無法剖析記錄 系統剖析原始記錄時發生問題。 查看剖析器設定。使用「Health Status by Parser」(剖析器健康狀態) 表格中的「Edit Parser」(編輯剖析器) 連結，調整剖析器設定。
    設定憑證問題 設定中使用的憑證有問題。 使用「編輯資料來源」連結編輯資料來源設定，驗證並更正憑證。
    正規化問題 記錄無法成功轉換為 UDM 事件。 使用「Edit Parser」(編輯剖析器) 連結查看剖析器設定，並確認記錄已正確對應至 UDM 欄位。

  2. 完成變更並修正資料健康狀態問題後，請監控健康狀態中心，執行下列操作：

    • 確認受影響資料來源或剖析器的「狀態」變更為「正常」，且「最新問題詳細資料」欄位變為空白或顯示 OK。
    • 查看圖表，確認擷取和剖析量是否已恢復正常。

瞭解異常偵測引擎

健康狀態中心採用 Google SecOps 異常偵測引擎，可自動找出資料中的重大變化，讓您快速偵測及解決潛在問題。

異常偵測引擎會回顧過去 15 天的資料，根據過去 24 小時與 15 天期間的比較結果進行計算，並每小時重新計算一次。

資料擷取異常偵測

Google SecOps 會分析每日資料量變化，同時考量正常的每週模式。

異常偵測引擎會使用下列計算方式，偵測資料擷取量是否異常激增或驟降：

  • 每日和每週比較：Google SecOps 會計算當天與前一天的擷取量差異，以及當天與過去一週平均擷取量的差異。

  • 標準化：為瞭解這些變化的重要性，Google SecOps 會使用下列 Z 分數公式進行標準化：

    z = (x<sub>i</sub> − x_bar) / stdev

    其中

    • z 是個別差異的標準化分數 (或 Z 分數)
    • x<sub>i</sub> 是個別差異值
    • x_bar 是差異的平均值
    • stdev 是差異的標準差

  • 標記異常：如果每日和每週標準化變更都具統計顯著性，Google SecOps 就會標記異常。具體來說，Google SecOps 會搜尋：

    • 下降：每日和每週標準化差異均小於 -1.645。
    • 激增：每日和每週標準化差異均大於 1.645。

正規化比率

計算已擷取事件與正規化事件的比率時，異常偵測引擎會採用綜合方法，確保只標記正規化率大幅下降的情況。只有在符合下列兩項條件時，異常偵測引擎才會產生快訊：

  • 與前一天相比，正規化比率有統計顯著性下降。
  • 絕對值也大幅下降，幅度達 0.05 以上。

剖析錯誤異常偵測

對於資料剖析期間發生的錯誤，異常偵測引擎會使用比率法。如果剖析器錯誤占擷取事件總數的比例，比前一天增加 5 個百分點以上，異常偵測引擎就會觸發快訊。

疑難排解

以下說明健康中心介面中，您可能不熟悉或感到困惑的元素：

  • 在健康中心表格小工具中，如果某個欄位在所選時間範圍內沒有資料，系統會顯示破折號 (-)，代表空值。舉例來說，如果動態饋給成功提取檔案，但檔案是空的，Google SecOps 就不會擷取資料，因此動態饋給的「上次擷取時間」會顯示破折號 (-)，且動態饋給會顯示「健康」，除非擷取的資料量不正常。

  • 「健康中心」會根據所選時間範圍，顯示所有來源 (包括已刪除的動態饋給) 的歷來資料。如果動態饋給在所選日期範圍內刪除，資訊主頁會顯示該來源在刪除前的資料。如果來源在所選日期範圍開始前就已刪除，系統不會顯示該來源的資料。

  • 剖析的記錄總數可能會高於擷取的記錄總數，因為部分擷取的記錄會對應至多個標準化記錄。

  • 「Health Status by Data Source」(依資料來源顯示健康狀態) 表格中的「Last Collected」(上次收集時間) 時間戳記，可能晚於「Last Ingested」(上次擷取時間) 時間戳記。這是因為「上次收集時間」時間戳記代表 Google SecOps 收到事件的時間，即使酬載空白也一樣，但空白酬載不會記錄擷取時間戳記。

  • 「Health Status by Parser」(剖析器健康狀態) 表格中的「Last Event Time」(上次事件時間)，可能晚於「Last Ingested」(上次擷取時間) 時間戳記。這是因為「上次事件時間」代表 Google SecOps 收到事件的時間，即使酬載空白也一樣，但空白酬載不會記錄擷取時間戳記。

後續步驟

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。