AWS GuardDuty

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l’accès, contactez l’équipe de votre compte Databricks.

Présentation

AWS GuardDuty est un service de détection des menaces qui surveille en permanence vos comptes et vos charges de travail AWS à la recherche d'activités malveillantes et de comportements non autorisés. Lakewatch importe AWS GuardDuty à partir du stockage cloud à l'aide d'Auto Loader et schématise les données avec le parseur aws_guardduty intégré. Il s'agit d'une source de stockage cloud, pas d'un connecteur API.

Intégrer AWS GuardDuty

Pour ingérer AWS GuardDuty, créez une source de données de stockage cloud pour celui-ci et attachez l'analyseur aws_guardduty intégré afin que les événements soient écrits dans une table schématisée et analysée. Pour les prérequis, l’accès à Unity Catalog et les étapes complètes de configuration de la source de données, voir Stockage cloud.

Schéma analysé et observables

L'analyseur aws_guardduty intégré schématise AWS GuardDuty en une table analysée. Chaque table analysée contient également les colonnes gérées par Lakewatch :

• lw_id: Une chaîne non nulle que Lakewatch utilise comme clé primaire, prenant en charge la déduplication sur les lectures incrémentielles.
• time: un timestamp d’événement non nul assigné par le parser.
• lw_meta: Métadonnées de traitement Lakewatch standard.
• lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.

Pour plus d'informations, consultez la Référence de l'analyseur.

Schéma de table analysé

L’analyseur aws_guardduty écrit les colonnes suivantes (générées à partir de la définition de l’analyseur) :

Colonne	Type de données
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

Colonne	Type de données
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

Observables de l’analyseur

L’analyseur extrait les champs suivants dans lw_observables (générés à partir de la définition de l’analyseur) :

Champ	Observable
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

Champ	Observable
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

Les champs VARIANT suivants sont analysés pour rechercher des observables en mettant en correspondance des noms de clés imbriqués ; les types d'observables extraits de chacun :

Champ	Types observables analysés
resource	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.additionalInfo	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.action	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.detection	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username

Champ	Types observables analysés
resource	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.additionalInfo	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.action	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.detection	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username