О различии между понятиями «метка времени» и «штамп времени» [Справочно-правовая система по информационной безопасности]
Современный этап развития общественных отношений в России сопряжен с активным применением информационных технологий в различных сферах жизни. Одним из таких примеров является повсеместное проникновение систем электронного документооборота, юридическую значимость которым придает использование электронной подписи в качестве одного из реквизитов электронного документа.
Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее — 63-ФЗ) регулирует отношения в области использования электронных подписей при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, исполнении государственных и муниципальных функций, при совершении иных юридически значимых действий, в том числе в случаях, установленных другими федеральными законами. В п.2 ст.11 63-ФЗ закреплено, что одним из обязательных условий признания квалифицированной электронной подписи является действительность квалифицированного сертификата на момент подписания электронного документа (при наличии достоверной информации о моменте подписания электронного документа).
«Правила использования усиленной квалифицированной электронной подписи органами исполнительной власти и органами местного самоуправления при организации электронного взаимодействия между собой» (утв. постановлением Правительства 
Согласно п.5 вышеуказанных Правил подписанный электронной подписью электронный документ должен иметь
В то же время, в нормативных правовых актах РФ можно обнаружить иное понятие — «штамп времени». Так, в пп.»д» п.17 «Положения о межведомственной интегрированной автоматизированной информационной системе федеральных органов исполнительной власти, осуществляющих контроль в пунктах пропуска через государственную границу Российской Федерации» (утв. постановлением Правительства РФ от 29.12.2008 № 1057) указано, что в совместном регламенте (соглашении) участников межведомственного информационного взаимодействия об осуществлении межведомственного информационного взаимодействия в рамках межведомственной информационной системы с использованием ресурсов общероссийского государственного информационного центра должны предусматриваться условия использования электронной цифровой подписи, штампов времени.
Таким образом один из подзаконных актов, принятых в развитие норм 63-ФЗ, определил понятие «метка времени». В то же время понятие «штамп времени» остается не раскрытым в пределах российской нормативной правовой базы. В этой ситуации является допустимым обращение к документу RFC 3161 «Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)» Инженерного совета Интернета (англ. Internet Engineering Task Force, IETF), согласно которому штамп времени (TimeStamp) представляет собой 
Штамп времени можно определить как электронный документ, подписанный электронной подписью и устанавливающий существование определенного электронного документа на момент времени, указанный в штампе с использованием метки времени. Основная функция штампа времени состоит в предоставлении возможности участникам электронного документооборота и иным заинтересованным лицам достоверно следить за временем создания и модификации соответствующего электронного документа. Штамп времени подтверждает существование определённого электронного документа в определённое время. Метка времени, в отличие от штампа времени, выполняет не самостоятельную юридически-значимую функцию, а технико-прикладную функцию.
конфиденциальность ключа электронной подписи, аналитика
Доверенная временная метка
Доверенная временная метка
Использование временных меток, соответствующих стандарту RFC 3161, в вашем коде и электронных документах
Узнать больше
Защищенные и доверенные временные метки для долгосрочных подписей
SaaS-система GlobalSign, добавляющая доверенные временные метки, — это легкий и бюджетный способ применить временные метки RFC 3161 при проведении операций, привязанных к определенному времени.
Для этого используются независимые и проверяемые источники даты и времени UTC (Coordinated Universal Time). Служба временных меток GlobalSign позволяет организациям сократить возможные риски, связанные с транзакциями, привязанными к определенному времени. Стандартизированное решение обеспечивает долгосрочное подтверждение и невозможность отказа для даты и времени совершения транзакции.
Добавление доверенной временной метки к коду или электронной подписи служит цифровым подтверждением целостности данных и доказывает дату и время совершения транзакции. Получатели документов и кода с доверенной временной меткой могут проверить, когда был подписан этот документ или код, а также убедиться, что документ или код не подвергались изменениям после этого момента.
Характеристики и преимущества:
Совместимость с большинством распространенных систем и приложений, включая Microsoft и Adobe
Соблюдение требований стандарта RFC 3161 с использованием строгого 256-битного алгоритма хеширования
Подтверждение времени подписи документа или данных и отсутствия изменений в них
Гарантия юридической силы и невозможности отказа для цифровых подписей
Модель SaaS означает, что GlobalSign берет на себя все услуги по обслуживанию, защите и аудиту
Как это работает
Свяжитесь со cпециалистом по продуктам для получения дополнительной информации.
Запросить больше информации о доверенной временной метке.
Заполните форму, и наш специалист свяжется с вами.
Документация JDK 19 — Главная
- Главная
- Java SE
- 19
Обзор
- Прочтите меня
- Примечания к выпуску
- Что нового
- Руководство по миграции
- Загрузить JDK
- Руководство по установке
- Формат строки версии
Инструменты
- Технические характеристики инструментов JDK
- Руководство пользователя JShell
- Руководство по JavaDoc
- Руководство пользователя средства упаковки
Язык и библиотеки
- Обновления языка
- Основные библиотеки
- HTTP-клиент JDK
- Учебники по Java
- Модульный JDK
- Руководство программиста API бортового регистратора
- Руководство по интернационализации
Технические характеристики
- Документация API
- Язык и ВМ
- Имена стандартных алгоритмов безопасности Java
- банок
- Собственный интерфейс Java (JNI)
- Инструментальный интерфейс JVM (JVM TI)
- Сериализация
- Проводной протокол отладки Java (JDWP)
- Спецификация комментариев к документации для стандартного доклета
- Прочие характеристики
Безопасность
- Руководство по безопасному кодированию
- Руководство по безопасности
Виртуальная машина HotSpot
- Руководство по виртуальной машине Java
- Настройка сборки мусора
Управление и устранение неполадок
- Руководство по устранению неполадок
- Руководство по мониторингу и управлению
- Руководство по JMX
Client Technologies
- Руководство по специальным возможностям Java
Временные метки, часовые пояса, временные диапазоны и форматы даты
Мы поддерживаем несколько вариантов временных меток, часовых поясов, временных диапазонов и дат.
При сборе данных журнала отметка времени, прикрепленная к сообщениям, имеет жизненно важное значение как для целостности данных в вашей учетной записи, так и для точных результатов запроса. Из-за важности меток времени Sumo Logic индексирует метку времени каждого сообщения, гарантируя, что данные, относящиеся к временному диапазону запроса, правильно возвращаются в результатах поиска, что позволяет восстановить правильную временную шкалу события.
Временные метки
Временные метки — это часть сообщения журнала, в котором отмечается время возникновения события. Во время загрузки мы можем определить временную метку сообщения, преобразовать ее во время эпохи Unix (количество миллисекунд с полуночи, 1 января 1970 года по всемирному координированному времени) и проиндексировать ее. Временная метка анализируется либо с использованием параметров анализа временной метки по умолчанию, либо в пользовательском формате, который вы указываете, включая часовой пояс.
При настройке Источника вы можете выбрать использование настроек анализа временных меток по умолчанию или указать собственный формат для анализа временных меток в ваших сообщениях журнала.
Включить синтаксический анализ меток времени Параметр выбран по умолчанию. Если он не выбран, информация о метках времени вообще не анализируется. Вместо этого мы отмечаем в журналах время обработки сообщений.
Рекомендации по временным меткам
По умолчанию мы можем автоматически определять временные метки в ваших сообщениях журнала. Автоматическое обнаружение идентифицирует временные метки в распространенных форматах и предпочитает временные метки, которые появляются в начале сообщения.
Если ваши сообщения журнала из источника содержат несколько меток времени, метки времени в необычных форматах или смесь различных форматов меток времени, у вас есть два варианта:
- Настройте источник для каждого формата журнала
- Настройте собственный формат метки времени для вашего источника
Сборщик предполагает, что все сообщения журнала, поступающие из определенного источника, будут иметь метки времени, близкие друг к другу.
Если приходит сообщение, которое кажется более чем на один день раньше или позже, чем недавние сообщения из этого источника, оно будет автоматически исправлено, чтобы соответствовать текущему времени. Вы можете остановить это автоматическое исправление, явным образом настроив пользовательский формат временной метки в источнике.
Сборщик также предполагает, что все сообщения журнала, поступающие из определенного Источника, будут иметь временные метки в пределах окна от -1 года до +2 дней по сравнению с текущим временем. Любое сообщение журнала с проанализированной отметкой времени за пределами этого окна автоматически обновляется с текущим временем. Вы должны связаться со службой поддержки Sumo Logic, чтобы настроить это поведение автокоррекции. Дополнительные сведения см. в статье о том, как получать старые или исторические данные.
Автоматический анализ временных меток
Коллекторы могут автоматически анализировать любой из следующих форматов временных меток. Если в сообщении журнала обнаружено несколько действительных отметок времени, Collector выберет отметку времени, которая отображается в сообщении как «крайняя слева».
Библиотека Java SimpleDateFormat используется для анализа меток времени. Для получения дополнительной информации см. https://docs.oracle.com/javase/7/docs/api/java/text/SimpleDateFormat.html.
| Timestamp Format | Example | ||
|---|---|---|---|
| yyyy-MM-dd’T’HH:mm:ss*SSSZZZZ | 2018-08-20’T’13:20:10*633+0000 | ||
| гггг МММ дд ЧЧ:мм:сс.ССС zzz | 2017 03 марта 05:12:41.211 PDT | ||
| МММ дд ЧЧ:мм:сс ZZZZ гггг0162 | 21 янв 18:20:11 +0000 2017 | ||
| дд/МММ/гггг:ЧЧ:мм:сс ZZZZ | 19/апр/2017:06:36:15 -0700 25 МММ | 2 декабря 2017 г. 2:39:58 | |
| МММ дд гггг ЧЧ:мм:сс | 09 июня 2018 г. 15:28:14 | 20 апр 00:00:35 2010 | |
| MMM dd HH:mm:ss ZZZZ | 28 сент 19:00:00 +0000 | ddH: Ms2: MMM dd HH:mm:ss ZZZZ | 28 сент. 0162 | 16 марта 08:12:04 |
| гггг-ММ-дд’T’ЧЧ:мм:ссZZZZ | 2017-10-14T22:11:20+0000 | 2 | 2 | 2 ‘ЧЧ:мм:сс.SSS’Z’ | 2017-07-01T14:59:55.711’+0000′ |
| 2017-07-01T14:59:55.711Z | 6г-ддг-г | 2017-08-19 12:17:55 -0400 | |
| гггг-ММ-дд ЧЧ:мм:ссZZZZ | 2017-08-19 12:17:59-0145 9065-0145 | ||
| гггг-ММ-дд ЧЧ:мм:сс,ССС | 2017-06-26 02:31:29,573 | ||
| гггг/ММ/дд*ЧЧ:мм:сс | 2017/04/12*19:37:50 | 2 : ss.sss*Zzz | 2018 апрель 13 22: 08: 13.211*PDT |
| Yyyy MMM DD HH: MM: Ss.SS | 2017 Март 10 01: 44: 20,392 | 9015 | 2017 9015 9015 | . дд ЧЧ:мм:сс,ССЗЗЗЗ | 2017-03-10 14:30:12,655+0000 |
гггг-ММ-дд ЧЧ:мм:сс. SSS | 2018-02-25: 15.30:12,655+0000 | ||
| гггг-ММ-дд ЧЧ:мм:сс. | |||
| гггг-ММ-дд ЧЧ:мм:сс.SSSZZZZ | 2017-03-12 13:11:34.222-0700 | ||
| гггг-ММ-дд’T’ЧЧ:мм:сс.SSS | 2 -07-22’T’16:28:55.444 | ||
| гггг-ММ-дд’T’ЧЧ:мм:сс | 2017-09-08’T’03:13:10 | ||
| гггг ММ-дд’T’ЧЧ:мм:сс’Z’ | 2017-03-12’T’17:56:22′-0700′ | ||
| гггг-ММ-дд’T’ЧЧ:мм:сс .SSS | 2017-11-22’T’10:10:15.455 | ||
| гггг-ММ-дд’T’ЧЧ:мм:сс | 2017-02-11’T’18:31:44 | ||
| гггг-ММ-дд*ЧЧ:мм:сс:ССС | 2017-10-30*02:47:33:899 | 2 | 2017-10-30*02:47:33:899 | 2 гггг-ММ-дд*ЧЧ:мм:сс | 2017-07-04*13:23:55 |
| гг-ММ-дд ЧЧ:мм:сс,ССС ZZZZ | 11-02-11 16: 47:35,985 +0000 | ||
| гг-ММ-дд ЧЧ:мм:сс,ССС | 10-06-26 02:31:29,573 | ||
| гг-ММ-дд 19016s2s 9016s2s 9016s2s -04-19 12:00:17 | |||
| гг/мм/дд ЧЧ:мм:сс | 06/01/22 04:11:05 | ||
| YYMMDD HH: MM: SS | 150423 11:42:35 | ||
YYYYMMMDD HH: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: MM: ММ: ММ: ММ: ММ: ММ: ММ: ММ: ММ. | |||
| ММ/дд/гг*ЧЧ:мм:сс | 08/10/11*13:33:56 | ||
| ММ/дд/гггг*ЧЧ:мм:сс | 22/11/2017 05:13:11 | ||
| ММ/дд/гггг ЧЧ:мм:сс SSS | 09/05/2017 08:22:14 612 | 23.04.17 04:34:22 +0000 | |
| ММ/дд/гггг ЧЧ:мм:сс ZZZZ | 03/10/2017 07:29:46 -0700 | 11:42:35 | |
| HH:mm:ss.SSS | 11:42:35.173 | ||
| HH:mm:ss,SSS | 11:42:35,173 | ||
| dd/ МММ ЧЧ:мм:сс,ССС | 23 апреля 11:42:35,173 | ||
| дд/МММ/гггг:ЧЧ:мм:сс | 23 апреля/2017:11:42:35 911652 | дд/ммм/гггг ЧЧ:мм:сс | 23 апреля 2017 11:42:35 |
| дд-МММ-гггг ЧЧ:мм:сс | 23 апреля 2017 11:42:35 | 23-апреля-2017 11: 42: 35,883 | |
| DD MMM YYYY HH: MM: SS | 23 APR 2017 11:42:35 | ||
161616161616161616161616161616161616161616161616161616. *SSS | 23 апреля 2017 г. 10: 32: 35*311 | ||
| MMDD_HH: MM: SS | 0423_11: 42: 35 | ||
| 616: 42: 35 | |||
| 6: 42: 35 | |||
| 6: 42: 35 | |||
| ММ/дд/гггг чч:мм:сс a:SSS | 05.08.2011 3:31:18 AM:234 | ||
| ММ/дд/гггг чч:мм:сс a | 2 9 /28/2011 14:23:15 |
Временные метки эпохи Unix
Временные метки эпохи Unix поддерживаются в следующих форматах:
10-значный формат времени эпохи, заключенный в скобки . Цифры должны быть в самом начале сообщения. Например, [1234567890] или [1234567890, другое], за которым следует остальная часть сообщения.
13-значное время эпохи. 13 цифр должны быть в самом начале сообщения. Например, 12345678
… и остальная часть сообщения.16-значное время эпохи. 16 цифр должны быть в самом начале сообщения. Например, 12345678
… и остальная часть сообщения.
19-значное время эпохи. 19 цифр должны быть в самом начале сообщения. Например, 1496756806,655123456…. затем следует остальная часть сообщения.
Мы также распознаем формат времени для службы доставки журналов Akamai. Формат представляет собой 13 цифр с точкой перед последними тремя цифрами (мс): 1234567890,123
Значения, разделенные запятыми, где 5-е значение от начала сообщения представляет собой 10-значное время эпохи. Например, свойство field1, field2, field3, field4, 1234567890
в формате JSON называется «отметка времени», за которым следует 13-значное время эпохи. Например, «отметка времени»: «123456789».013 «.
Формат Cisco Fortigate/Meraki Mog Сообщение:
<134> 1 1439277406.
8018 Store_020026 Flows SRC = DST = 72.245.34.184 = udp = 62118 = 62118. Формат сообщения аудита Linux:
type=PATH msg=audit(1439992022.365:83931889): item=0 name="/usr/sbin/ss" inode=91193416 dev=08:02 mode=0100755 ouid= 0 ogid=0 rdev=00:00
Указание пользовательского формата временной метки
Сборщик может автоматически анализировать большинство временных меток без каких-либо проблем, но если вы видите проблемы с анализом временных меток, вы можете вручную указать формат временной метки.
Шаги одинаковы, если вы настраиваете новый источник или редактируете информацию о метке времени для существующего источника.При указании пользовательского формата вы предоставляете нам формат временной метки и, при необходимости, регулярное выражение, чтобы помочь найти нужную временную метку в формате строки журнала. Если вы не предоставите локатор, мы просканируем все сообщение журнала на наличие метки времени, соответствующей заданному формату по умолчанию. Вы также можете протестировать некоторые образцы строк журнала и посмотреть, сможем ли мы проанализировать новый формат.
Ваш собственный формат временной метки должен соответствовать нашим поддерживаемым соглашениям о временной метке.
При предоставлении нескольких пользовательских форматов сначала укажите наиболее распространенный формат. Сборщик будет обрабатывать каждый пользовательский формат в указанном порядке. Как только временная метка обнаружена, дальнейшая проверка временной метки не выполняется.
Если временные метки, соответствующие вашим пользовательским форматам, не найдены, Collector все равно попытается автоматически найти временную метку журнала.
Пользовательский интерфейс
Существует два пользовательских интерфейса (UI) для указания формата временной метки: классический и новый. Новый интерфейс доступен только на определенных источниках и выпускается постепенно. Используйте кнопки ниже, чтобы просмотреть инструкции для пользовательского интерфейса, который вы видите при создании или редактировании источника.
- Классический пользовательский интерфейс
- Новый пользовательский интерфейс
Выполните одно из следующих действий:
- Если вы настраиваете новый источник, перейдите к шагу 1. до Управление данными > Коллекция > Коллекция . Затем нажмите Изменить справа от имени источника и перейдите к шагу 2.
- Если вы настраиваете новый источник, перейдите к шагу 1. до Управление данными > Коллекция > Коллекция . Затем нажмите Изменить справа от имени источника и перейдите к шагу 2.
Нажмите Дополнительно (если дополнительные настройки еще не отображаются). Укажите формат .
В поле Format введите формат метки времени, который Collector должен использовать для анализа меток времени в вашем журнале. Если формат метки времени указан в формате времени эпохи, введите «эпоха» в поле 9.0125 Поле формата . Ваш собственный формат временной метки должен соответствовать нашим поддерживаемым соглашениям о временной метке.
Локатор метки времени – это регулярное выражение с группой захвата, соответствующей метке времени в ваших сообщениях журнала.
Указатель временной метки должен:
- быть предоставлен для 16-значных или 19-значных временных меток эпохи. В противном случае это поле не является обязательным.
- — допустимое регулярное выражение Java. В противном случае будет отображаться следующее сообщение об ошибке:
Невозможно проверить форматы меток времени. Недопустимое регулярное выражение локатора меток времени your-regex. Регулярное выражение локатора временных меток your-regex использует функции сопоставления, которые не поддерживаются. - — регулярное выражение, совместимое с RE2, например:
\[time=(.*?)\]. В противном случае будет отображаться следующее сообщение об ошибке:Невозможно проверить форматы меток времени. Регулярное выражение локатора временных меток your-regex использует функции сопоставления, которые не поддерживаются. - содержат одну безымянную группу захвата. Когда мы извлекаем временные метки, мы сканируем только ту часть каждого сообщения журнала, которая захвачена этой группой. Если сообщение журнала не соответствует выражению локатора, то к этому сообщению нельзя применить формат отметки времени. Если регулярное выражение не содержит ни одной безымянной группы захвата, будет отображаться следующее сообщение об ошибке:
Невозможно проверить форматы меток времени. Регулярное выражение локатора отметок времени your-regex не содержит ни одной безымянной группы захвата. Регулярное выражение локатора временных меток your-regex использует функции сопоставления, которые не поддерживаются
Если вы используете кавычки в регулярном выражении локатора временных меток, вы можете увидеть проблемы на дисплее после сохранения. Регулярное выражение на самом деле не изменяется и по-прежнему может использоваться для определения временной метки.
Если вы хотите добавить несколько настраиваемых форматов меток времени, нажмите Добавить . Порядок форматов имеет большое значение. Каждый предоставленный формат метки времени проверяется в указанном порядке до тех пор, пока не будет найден соответствующий формат. Первый совпадающий формат определяет отметку времени окончательного сообщения. Если ни один из предоставленных форматов не соответствует конкретному сообщению, коллектор попытается автоматически определить временную метку сообщения.
Нажмите Test после того, как вы введете все пользовательские форматы меток времени. Если вы ввели действительное регулярное выражение в локатор меток времени, вы увидите Проверка временной метки Анализ страницы . Введите примеры сообщений журнала, чтобы протестировать форматы меток времени, которые вы хотите извлечь.
Нажмите Тест . Результаты отображаются с проанализированной отметкой времени и совпадением формата (если есть).
Вы должны увидеть одно из следующих сообщений:
- Формат соответствует. В этом примере формат
гггг/ММ/дд ЧЧ:мм:ссбыл сопоставлен и выделен зеленым цветом. Это был первый предоставленный формат, поэтому он возвращает значение 9.0607 1 (формат: гггг/мм/дд ЧЧ:мм:сс локатор: \[время=(.*?)\]) Эффективное время сообщения будет 2017-01-15 02:12.000 +0000. - Ни один из пользовательских форматов меток времени не совпал. Хотя пользовательские форматы не были найдены в журнале, по-прежнему есть автоматически обнаруженная временная метка, выделенная оранжевым цветом, 2017-06-01 02:12:12.259667, которую мы можем использовать. Эффективное сообщение время будет 2017-06-01 02:12:12.259 +0000
- Невозможно проанализировать любую метку времени . Никакая часть образца строки журнала «Эта строка не должна анализироваться» не имеет отметку времени для анализа, поэтому отметка времени будет текущим временем.
- Формат соответствует. В этом примере формат
Дополнительно. Если вы хотите внести изменения в свою строку журнала, нажмите Изменить , и вы можете указать другие строки журнала для проверки .
Нажмите Готово для выхода Анализ временной метки теста .
Нажмите Сохранить , чтобы сохранить пользовательские форматы меток времени.
Использование _format для устранения неполадок
Вы можете использовать _format, чтобы увидеть, как метка времени анализируется из файла журнала.
Назначьте _format псевдоним, чтобы он отображался в результатах поиска, например: | _format as timestampFormat
Поля возвращаются в результатах поиска _format:
t:
,o: ,l: ,p:
, где
сбой— Не удалось найти метку времени.кэш— успех, кэшированный формат.def— Успех, формат по умолчанию (указанный пользователем).полный— Успех, от «полного» парсинга против библиотеки паттернов.нет— Локальное время/время получения, поскольку для этого источника не включен анализ временных меток.ac1— Автокоррекция с помощью «оконной» эвристики (то, что мы сегодня называем «автокоррекцией»). Sumo Logic предполагает, что все сообщения журнала, поступающие из определенного источника, будут иметь временные метки, близкие друг к другу. Если приходит сообщение, которое кажется более чем на один день раньше или позже, чем недавние сообщения из этого источника, оно будет автоматически исправлено, чтобы соответствовать текущему времени. Вы можете остановить это автоматическое исправление, явным образом настроив пользовательский формат временной метки в источнике.Например, предположим, что коллектор анализирует отметку времени «9 декабря0125 2 , 2021 2:39:58″. Если ранее полученное сообщение от этого Источника имеет отметку времени до « 1 декабря, 2021 2:39:58 AM» или после « 3 декабря, 2021 2″. :39:58 AM», Collector автоматически исправит метку времени на текущее время.
ac2 — автоматически корректируется эвристикой -1y, +2d. Sumo Logic предполагает, что все сообщения журнала поступают из определенного источника. будут иметь временные метки, которые находятся в диапазоне от -1 года до +2 дней по сравнению с текущим временем. Любое сообщение журнала с проанализированной временной меткой за пределами этого окна автоматически переустанавливается с текущим временем.
Например, предположим, что коллектор анализирует отметку времени «2 декабря 2021 2:39:58″. Если ранее полученное сообщение от этого Источника было получено до 1 декабря 90 125 2020 2:39:58 или после «4 декабря 2021 2:39:58″, сборщик автоматически исправит метку времени. к текущему времени.
Пример
При устранении неполадок, связанных с отметкой времени, вы можете выполнить запрос, аналогичный этому, чтобы увидеть, как анализируется отметка времени:
_sourceCategory=PaloAltoNetworks
| _format as timestampformat
Результат будет выглядеть следующим образом:
Большое время между временем сообщения и временем получения
См. Устранение неполадок несоответствия между временем сообщения и временем получения.
Условные обозначения временных меток
Следующие условные обозначения поддерживаются в качестве токенов и могут использоваться в настраиваемых форматах временных меток: раздел выше.
Токен Компонент даты или времени Пример гггг 4-значный год 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 20162 2016гг 2-значный год 12; 16 МММ 3-значный месяц Январь; март; Декабрь ММ 1- или 2-значный месяц (в году) 1; 01; 9; 09; 12 дд 1- или 2-значный день (в месяце) 1; 01; 16; 30 a AM/PM (без учета регистра) AM; ВЕЧЕРА; являюсь; pm HH 1- или 2-значный час (в дне, 0-23) 2; 02; 14; 23 чч 1- или 2-значный час (в сутках, 1-12 с AM/PM) 2; 02; 11; 12 мм 1- или 2-значный номер минуты (в часе) 8; 08; 55 ss 1- или 2-значная секунда (в минуту) 5; 05; 35 SSS 1-3 цифры доли секунды или миллисекунды (в десятичном формате) 4; 58; 944 zzz 3-буквенный часовой пояс UTC; ТИХООКЕАНСКОЕ СТАНДАРТНОЕ ВРЕМЯ; EDT ZZZZ RFC 822 часовой пояс -0900; +0500 ‘Z’ Буквенный символ Z Z ‘T’ Буквенный символ T T2 90 195epoch 9 0 1 95 epoch 9 00162 10, 13, 16, 19-значная отметка времени с необязательным . (точка) после 10 цифр.1496756806.655123456 Не используйте эпоху с любыми другими токенами.
Часовые пояса
При настройке источника вы можете выбрать один из следующих вариантов:
- Использовать часовой пояс, указанный в ваших файлах журнала, а затем выбрать вариант, если в сообщении журнала отсутствует информация о часовом поясе. .
- Заставьте нас полностью игнорировать любую информацию о часовом поясе, присутствующую в журналах, задав часовой пояс.
Важно правильно установить часовой пояс, какой бы вариант вы ни выбрали. Если часовой пояс журналов не может быть определен, мы помечаем их UTC.
Рекомендации по часовым поясам
Следующие рекомендации относятся к часовым поясам:
- Мы настоятельно рекомендуем явно указывать часовой пояс для всех источников. Sumo Logic всегда пытается определить часовой пояс источника. Однако, если это невозможно, часовой пояс вернется к UTC. В этих случаях часовой пояс будет неправильным, и это может существенно повлиять на судебный анализ и отчетность.
- Sumo Logic не поддерживает все доступные часовые пояса ISO8601. Например -00 не поддерживается. Таким образом, любые часовые пояса, записанные в этом формате, не обнаруживаются системой. Для случаев этих форматов вам нужно будет указать правильный часовой пояс по умолчанию, который будет использоваться, когда он не обнаружен службой.
В этой статье Википедии приведен список смещений UTC, а в этой статье Википедии – список кодов часовых поясов.
Часовой пояс по умолчанию
По умолчанию мы используем часовой пояс из вашего веб-браузера, установленный операционной системой, чтобы отображать часы и минуты везде в нашем пользовательском интерфейсе. Вы можете изменить часовой пояс по умолчанию, который отображается в пользовательском интерфейсе, отрегулировав Часовой пояс по умолчанию на странице Настройки .
Этот параметр переопределяет часовой пояс вашего веб-браузера и изменяет способ отображения часов и минут в пользовательском интерфейсе. Но это личный параметр, который не меняет часовой пояс ни для кого в вашей организации.Элементы пользовательского интерфейса, на которые влияет этот параметр, включают поле Поиск Страница Диапазон времени , столбец Время панели Сообщения , Панели мониторинга и Обнаружение аномалий.
Изменение параметра Часовой пояс по умолчанию влияет на то, как пользовательский интерфейс отображает сообщения, но не на фактическую метку времени в сообщении журнала.
Например, на следующем снимке экрана показан часовой пояс, установленный на PST в пользовательском интерфейсе в столбце Time . Журналы были собраны из системы, которая также была настроена на использование часового пояса PST , который отображается в отметке времени столбца Message .
Временные метки в обоих столбцах совпадают, поскольку они установлены для одного и того же часового пояса.На следующем снимке экрана показан тот же результат поиска после изменения настройки часового пояса по умолчанию на UTC. Теперь столбец «Время» отображается в формате UTC, а столбец «Сообщение» сохраняет исходную временную метку в формате PST.
В другом примере, если для вашего часового пояса установлено значение UTC , и вы предоставляете панель управления совместно с другим пользователем, для которого часовой пояс установлен по тихоокеанскому времени, что они увидят?
Они увидят те же данные, просто отображаемые в соответствии с установленным часовым поясом. Например, если у вас есть панель, в которой используются временные ряды, временная шкала на оси X диаграммы отображается в вашем часовом поясе 901:25 UTC . Другой пользователь увидит временную шкалу по оси X, отображаемую в его часовом поясе, PST .
Но данные, отображаемые на диаграмме, точно такие же.Диапазоны времени
В поле Диапазон времени на странице Поиск используется часовой пояс, установленный для пользовательского интерфейса Sumo Logic. Это либо часовой пояс по умолчанию, используемый в веб-браузере и установленный операционной системой, либо параметр Часовой пояс по умолчанию в Настройки страница, если вы установили этот параметр.
При создании Запланированного поиска или Оповещения в реальном времени временной диапазон сохраняемого поиска использует часовой пояс, заданный для пользовательского интерфейса Sumo Logic. Если вы изменили часовой пояс с помощью параметра Часовой пояс по умолчанию , этот часовой пояс будет использоваться для запланированных поисков и оповещений в реальном времени.
Параметр Часовой пояс по умолчанию не обновляет автоматически конфигурации существующих запланированных поисков или оповещений в реальном времени.
Шаги одинаковы, если вы настраиваете новый источник или редактируете информацию о метке времени для существующего источника.
Недопустимое регулярное выражение локатора меток времени your-regex. Регулярное выражение локатора временных меток your-regex использует функции сопоставления, которые не поддерживаются. 
Регулярное выражение локатора отметок времени your-regex не содержит ни одной безымянной группы захвата. Регулярное выражение локатора временных меток your-regex использует функции сопоставления, которые не поддерживаются 
Хотя пользовательские форматы не были найдены в журнале, по-прежнему есть автоматически обнаруженная временная метка, выделенная оранжевым цветом, 2017-06-01 02:12:12.259667, которую мы можем использовать. Эффективное сообщение время будет 2017-06-01 02:12:12.259 +0000
Назначьте _format псевдоним, чтобы он отображался в результатах поиска, например: 
Временные метки в обоих столбцах совпадают, поскольку они установлены для одного и того же часового пояса.
Но данные, отображаемые на диаграмме, точно такие же.