インテグレーションイベント時刻とタイムゾーンの処理🔗

Secureworks® Taegis™ XDR は、取り込まれたすべてのログイベントに単一の イベント時刻 を割り当てることで、共通のタイムラインに正規化します。このガイドでは、プラットフォームがインテグレーションログからイベントの時刻をどのように決定するか、含まれるまたは含まれないタイムゾーンがその値にどのように影響するか、またイベントのタイムスタンプが正しく見えない場合に何をすべきかを説明します。

主な概念🔗

統一されたイベント時刻: XDR は、すべてのイベントに event_time_usec（エポックからのマイクロ秒）として保存される単一の正規タイムスタンプを割り当てます。この値は、検索、タイムライン、相関分析に使用されます。
タイムゾーンの認識: 解析されたタイムスタンプにタイムゾーンまたはオフセット（たとえば Z や +/-HH:MM）が含まれている場合、XDR はそれに従って解釈します。タイムゾーンが存在しない場合、XDR はそのタイムスタンプを UTC と見なします。
ベストプラクティス: ソースが明示的なオフセット付き、または UTC でタイムスタンプを出力するように設定してください。ベンダーが形式を変更したりオフセットを追加したりした場合は、パーサーを更新できるよう、サンプルを添えてサポートチケットを起票してください。

イベント時刻とは🔗

XDR では、イベント時刻 はイベントが発生した時刻を表し、正規化されたフィールド event_time_usec に保存されます。これは、時間でフィルタリングしたり、タイムライン上でイベントを表示したりする際に使用されるタイムスタンプです。

関連するフィールド ingest_time_usec は、プラットフォームがログを受信した時刻を表します。取り込み時刻は、ログ自体から使用可能なタイムスタンプを抽出できない場合にのみフォールバックとして使用されます。

XDR がイベント時刻を決定する方法🔗

イベント時刻は、インテグレーション固有のパーサーによって選択されます。詳細はインテグレーションによって異なりますが、一般的な優先順位は次のとおりです。

Syslog ヘッダーのタイムスタンプ: ログが syslog 経由で到着した場合、初期パーサーは最初に syslog ヘッダーのタイムスタンプを抽出します。
- 従来の RFC 3164 ヘッダーには、タイムゾーンを含まない日付/時刻が含まれます。
- RFC 5424 ヘッダーにはタイムゾーンまたはオフセットが含まれる場合があり、サポートされている場合はそれが尊重されます。
ベンダー提供のタイムスタンプ（syslog ヘッダーを上書き）: ログに認識可能なタイムスタンプフィールド（たとえば event_time、timestamp、または CEF の rt）が含まれている場合、子パーサーは代わりにこれを使用できます。
取り込み時刻（フォールバック）: 使用可能なタイムスタンプが存在しない場合、XDR は ingest_time_usec を使用します。

これらのシナリオは、次のように要約できます。

ログのシナリオ	XDR で使用されるイベント時刻
Syslog ヘッダーが存在する	Syslog ヘッダーのタイムスタンプ
ベンダーのタイムスタンプが存在する	解析されたベンダーのタイムスタンプ
タイムスタンプがまったくない	取り込み時刻

タイムゾーンとナイーブタイムスタンプ🔗

明示的なタイムゾーンまたはオフセットが存在する: XDR は、指定されたオフセットを使用してタイムスタンプを UTC に変換します。
タイムゾーンまたはオフセットがない（ナイーブタイムスタンプ）: XDR はデバイスのローカルタイムゾーンを推測できないため、UTC を前提とします。

イベントが正しく見えない場合がある理由🔗

デバイスがタイムゾーンなしでローカル時刻を記録する場合、XDR は UTC を前提とします。これにより通常、イベントはローカル時刻と UTC の時差分だけ一貫してずれて表示されます。この動作は、タイムゾーン情報が欠落している場合には想定どおりであり、パーサーのエラーではありません。

Example

以下はログとイベントの例で、5 時間のオフセットによりイベント時刻と取り込み時刻の間に差が表示されています。

Jul 14 07:56:18 10.1.0.32 Jul 14 02:56:18 10.1.9.10 Jul 14 02:56:18 SERVER01 07/14/2026 02:56:18 AM LogName=Security SourceName=Microsoft Windows security auditing. EventCode=4625 EventType=0 Type=Information ComputerName=SERVER01.contoso.com TaskCategory=Logon OpCode=Info RecordNumber=12345680 Keywords=Audit Failure Message=An account failed to log on. Subject:    Security ID:        S-1-5-18    Account Name:       SERVER01$   Account Domain:     CONTOSO     Logon ID:       0x3E7 Logon Type:           3 Account For Which Logon Failed:   Security ID:        S-1-0-0     Account Name:           Account Domain:      Failure Information:   Failure Reason:     Unknown user name or bad password.  Status:         0xC000006D  Sub Status:     0xC0000064 Process Information:     Caller Process ID:  0x4ac   Caller Process Name:    C:\Windows\System32\lsass.exe Network Information:  Workstation Name:   SERVER01    Source Network Address: 10.1.14.16  Source Port:        65451 Detailed Authentication Information:  Logon Process:      Schannel    Authentication Package: Kerberos    Transited Services: -   Package Name (NTLM only):   -   Key Length:     0

正しいイベント時刻を確保する方法🔗

RFC 3339 タイムスタンプを優先する: ソースが、明示的なオフセットまたは UTC を示す Z を含む RFC 3339 / ISO 8601 形式（たとえば 2024-03-15T14:22:00+02:00 または 2024-03-15T14:22:00Z）でタイムスタンプを出力するように設定してください。これは RFC 5424 syslog で必要とされる形式でもあります。
それ以外の場合は UTC を使用する: オフセットを利用できない場合は、ソースまたはフォワーダーが UTC でログを記録するように設定してください。
対応可能なフォワーダーを使用する: syslog フォワーダーなどの一部のエージェントは、タイムスタンプを UTC に正規化したり、オフセットを追加したりできます。
ベンダーの変更を報告する: ベンダーがオフセットを追加したり、形式を変更したり、より適切なタイムスタンプフィールドを導入したりした場合は、パーサーを更新できるよう、サンプルログとベンダードキュメントを添えてサポートチケットを起票してください。

まとめ🔗

XDR は、すべてのイベントに単一の正規 イベント時刻 を割り当てます。
パーサーは、ベンダーのタイムスタンプ、次に syslog ヘッダー、最後に取り込み時刻を優先します。
タイムゾーンは重要です。タイムゾーン情報が欠落していると、UTC が前提となります。
一貫した時刻のずれを避けるため、ソースがオフセットを含めるか UTC を使用するように設定してください。
パーサーの精度向上のため、ベンダーの変更とサンプルを共有してください。