[BUG] Finding Based Detection - Possible timezone issue in detection_time_range_lookup

I maintainer di solito rispondono entro 1 giorno

Valutazione

Direzione di ricerca

Descrizione

I'm confused about the behaviour of Finding Based Detections, maybe there is a time issue with the lookup detection_time_range_lookup

Here is the scenario with ES 8.6.1 running on a server in UTC.

User admin_1, with timezone setting UTC, creates a FBD. The detection_time_range_lookup now looks like this:

The job details timerange for the initial run:

Job details for the second run:

The SPL translates earliest and latest:

This all looks fine. The job details show correct timeranges for a user admin_2 with a timezone setting UTC+1 as well.

Some minutes later admin_2 makes a change to the FBD. The lookup now shows

When the FDB runs, the SPL uses this earliest and latest:

Looking into the job details with admin_2 (UTC+1) shows a timerange in the future:

Looking into the same job details with user admin_1 (UTC) also shows a timerange which is in the future:

As a result, the FBD will never find any results.

Preparare l'ambiente

Come iniziare

1. Leggi tutta la issue e poi la guida ai contributi del progetto.
2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
3. Fai un fork del repository e lavora su un branch.
4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di splunk/security_content

• Consider Nizlo indicators in Windows RMM Tool Execution detection

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100

  splunk/security_content#4401 · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 1 giorno

• Improve "Windows AD Privileged Object Access Activity": rename to Privileged Group Enumeration and filter on member/memberOf Properties

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  enhancement

  Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100

  splunk/security_content#4400 · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 1 giorno

• Detection proposal: Sysinternals ADExplorer Active Directory snapshots

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  enhancement

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 55/100

  splunk/security_content#4393 · 2 commenti · Aperta il 3/11/2026

  I maintainer di solito rispondono entro 1 giorno

• Detection proposal: Chromium remote debugging used for cookie theft

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  enhancement

  Difficoltà 4/5 3-5 giorni Idoneità per principianti 30/100

  splunk/security_content#4389 · 1 commento · Aperta il 2/11/2026

  I maintainer di solito rispondono entro 1 giorno

• [BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry

  Forse già presa @mvanhorn l’ha presa 3 giorni fa. Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  bug

  Difficoltà 2/5 1-3 ore Idoneità per principianti 45/100

  splunk/security_content#4388 · 1 commento · Aperta il 2/11/2026

  I maintainer di solito rispondono entro 1 giorno

Tutte le issue di splunk/security_content

Issue simili

• Use human-readable field labels in form submission emails

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100

  django-cms/djangocms-form-builder#68 · Aperta il 7/11/2026

• Feature Request Installing more Python libraries in Jobe

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  enhancement

  Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100

  RunestoneInteractive/rs#1661 · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 2 giorni

• Document `@FILE` argument files for passing secret options outside of argv

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 64/100

  streamlink/streamlink#7192 · 4 commenti · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 1 giorno

• Inconsistency regarding message types/IDs

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 1/5 1-3 ore Idoneità per principianti 75/100

  Sendspin/spec#353 · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 2 giorni

• Palmyra Vision: the header carries no lifecycle facts, alone among the family notebooks

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100

  aws-samples/sample-per-model-bedrock#795 · Aperta il 7/11/2026

  I maintainer di solito rispondono entro 1 giorno

Altre issue su Python