Google hat am 14. August 2026 das Health Hub in Google Security Operations um eine direkte Überwachung verspäteter Sicherheitslogs erweitert. Zwei neue Tabellen zeigen die Ingestion-Latenz nach Datenquelle und Log-Typ. Administratoren können auffällige Einträge auswählen und anschließend im Data Health Deep Dive untersuchen, an welcher Stelle Sicherheitsdaten verspätet eintreffen. Die Funktion startet zunächst als Public Preview.
Die Änderung betrifft einen wichtigen Teil moderner Security Operations. SIEM-Systeme können Erkennungsregeln nur mit den Daten auswerten, die tatsächlich eingetroffen und verarbeitet worden sind. Verzögerte Firewall-, Endpoint-, Cloud- oder Identitätslogs können deshalb die Analyse eines Vorfalls erschweren. Google erweitert damit seine Cloud-Werkzeuge für Sicherheitsadministratoren um eine zentralere Sicht auf solche Verzögerungen.
Google SecOps zeigt Latenz jetzt pro Datenquelle und Log-Typ
Das Health Hub dient in Google SecOps bereits als zentrale Oberfläche für den Zustand der angeschlossenen Sicherheitsdaten. Administratoren sehen dort Ingestion-Volumen, Parsing-Status sowie ausgefallene oder ungewöhnliche Datenquellen. Die neue Public Preview ergänzt diesen Überblick um zwei Ansichten speziell für Ingestion Latency.
Die erste Tabelle betrachtet einzelne Datenquellen. Dadurch lässt sich beispielsweise erkennen, ob Daten aus einem bestimmten Feed ungewöhnlich spät bei Google SecOps eintreffen. Die zweite Tabelle arbeitet auf Ebene des Log-Typs. Das hilft bei Umgebungen mit vielen verschiedenen Sicherheitsquellen und Parsern, da ein Problem gezielter einem bestimmten Datenstrom zugeordnet werden kann.
| Neue Funktion | Aufgabe | Nutzen |
|---|---|---|
| Latenz nach Datenquelle | Verzögerungen einzelner Quellen anzeigen | Problematische Feeds schneller erkennen |
| Latenz nach Log-Typ | Verzögerungen einzelner Log-Typen anzeigen | Betroffenen Datenstrom eingrenzen |
| Data Health Deep Dive | Historische und detaillierte Latenzdaten untersuchen | Ursache und Verlauf genauer analysieren |
| Lookback Window | Betrachtungszeitraum für die Analyse steuern | Vergleich über einen passenden Zeitraum |
Ein Klick auf eine auffällige Datenquelle oder einen Log-Typ öffnet den Data Health Deep Dive. Dort können Administratoren den Verlauf genauer untersuchen. Google stellt unter anderem stündliche Ingestion-Raten, Feed-Läufe und historische Fehler zur Verfügung. Ungewöhnliche Lücken mit anschließend starken Spitzen können auf eine verzögerte gebündelte Übertragung hindeuten.
Google beschreibt die Erweiterung als Möglichkeit für bessere End-to-End-Sichtbarkeit. Das Unternehmen will damit auch die Zeit bis zur Diagnose eines Problems verkürzen. In den Release Notes verwendet Google dafür den Begriff Mean Time to Debug. Administratoren sollen nicht erst durch fehlende Ereignisse in einer Untersuchung bemerken, dass bestimmte Logs verspätet eintreffen.
Die Diagnose basiert auf mehreren Zeitstempeln. Last Event Time beschreibt den Zeitpunkt des eigentlichen Sicherheitsereignisses. Last Collected zeigt, wann Google SecOps die Daten von der Quelle erhalten hat. Last Ingested steht für die erfolgreiche Aufnahme in die SecOps-Pipeline.
Diese Trennung hilft bei der Ursachenanalyse. Liegt viel Zeit zwischen Last Event Time und Last Collected, befindet sich die Verzögerung wahrscheinlich auf der Seite der Quelle oder auf dem Übertragungsweg. Liegt die Verzögerung dagegen zwischen Last Collected und Last Ingested, sind die Daten bereits bei Google angekommen. Das Problem befindet sich dann eher innerhalb der Ingestion-Verarbeitung. Google nennt unter anderem überschrittene Quoten als möglichen Auslöser für diesen Fall.
Verspätete Logs können Erkennungen und Incident Response beeinflussen
Die Erweiterung ist für Security-Teams mehr als ein zusätzliches Monitoring-Dashboard. Ein SIEM sammelt Ereignisse aus zahlreichen Systemen und bringt sie für Erkennungsregeln, Threat Hunting und Incident Response zusammen. Ein Datenstrom kann technisch aktiv aussehen und trotzdem zeitlich hinterherhinken. Genau diese Situation lässt sich mit einer reinen Prüfung des Log-Volumens schwer erkennen.
Google SecOps zeigt deshalb auf Ebene eines Log-Typs auch eine statistische Latenzmetrik. Dabei wird das 95. Perzentil der Differenz zwischen Last Ingested und Last Event Time betrachtet. Ein hoher Wert kann auf Verzögerungen innerhalb der SecOps-Pipeline hinweisen. Ein normaler Wert trotz alter Ereignisse spricht dagegen eher dafür, dass bereits die Quelle ältere Daten übermittelt.
Das bestehende Health Hub ergänzt diese Informationen durch eine automatische Erkennung ungewöhnlicher Datenströme. Google betrachtet dafür die vergangenen 15 Tage und vergleicht aktuelle Werte mit früheren Mustern. Die Berechnung erfolgt stündlich. Auffällige Anstiege oder Rückgänge können beispielsweise auf einen Parserfehler, ein geändertes Schema beim Anbieter oder Änderungen an einer Datenpipeline hindeuten.
- Failed Sources markieren Datenquellen mit unmittelbarem Handlungsbedarf.
- Irregular Sources zeigen ungewöhnliche Veränderungen beim Datenvolumen.
- Last Ingested bestätigt den letzten erfolgreichen Ingestion-Zeitpunkt.
- Last Event Time zeigt das Alter des letzten normalisierten Ereignisses.
- Deep Dive liefert historische Daten für die genauere Fehlersuche.
Bei Parsing-Problemen kann Health Hub zusätzlich zwischen Fehlern bei Parsing, Validierung und Indexierung unterscheiden. Konfigurationsprobleme mit Zugangsdaten lassen sich ebenfalls sichtbar machen. Administratoren können von der Oberfläche aus zu den passenden Konfigurationen oder zu Cloud Monitoring wechseln.
Google veröffentlicht die neuen Latenzansichten noch nicht als allgemein verfügbare Funktion. Die Erweiterung fällt unter die Bedingungen für Pre-GA-Angebote und kann sich während der Public Preview noch verändern. Auch der neue Lookback Window ist am 14. August noch nicht vollständig bei allen Nutzern angekommen. Google erwartet den kompletten Rollout dieses Elements in der kommenden Woche.
Für SecOps-Administratoren entsteht damit trotzdem bereits eine präzisere Fehlerdiagnose. Das Health Hub zeigt nicht mehr nur, ob Sicherheitslogs ankommen und verarbeitet werden. Die neuen Ansichten machen zusätzlich sichtbar, wie verspätet einzelne Quellen und Log-Typen eintreffen. Gerade bei zeitkritischen Erkennungen kann dieser Unterschied entscheidend sein, da ein technisch funktionierender Datenfeed nicht automatisch aktuelle Sicherheitsdaten liefert.