Logs d'audit Box

Lakewatch fournit un connecteur d’API pour ingérer les événements d’audit d’entreprise à partir de Box. Cet article couvre les prérequis, les instructions de configuration, le schéma du connecteur et les observables de sécurité.

Prérequis

Le connecteur nécessite :

LakeFlow Pipelines Serverless activés dans votre Workspace.
Unity Catalog, avec des autorisations pour créer ou utiliser une connexion Unity Catalog. Voir Autorisations de connexion.
La préversion de Lakeflow Connect pour les logs d’audit Box a été activée dans votre workspace par un administrateur de workspace. Voir Activer la préversion du connecteur.
Si la politique réseau serverless de votre workspace utilise un accès restreint, les domaines API de la source doivent figurer dans la liste Domaines autorisés de la politique. Voir Autoriser les domaines API sources dans votre politique réseau.
L'authentification multifacteur (MFA) est activée sur le compte Box qui crée l'application. Box exige une authentification multifacteur (MFA) avant d'afficher le secret client. Voir Configuration avec l'octroi d'identifiants client.
Un administrateur d’entreprise ou un co-administrateur disposant de l’autorisation Exécuter de nouveaux rapports et accéder aux rapports existants . L’API Events requiert cette autorisation. Voir Obtenir des événements d’entreprise. Pour un co-administrateur, activez cette autorisation dans la section Rôle et autorisation d’accès de la page des détails du co-administrateur. Voir Autorisations de co-administrateur requises pour exécuter des rapports.

Limitations connues

La dimension à évolution lente (SCD) de type 2 n'est pas prise en charge car le schéma de destination comprend des colonnes VARIANT.
Le connecteur prend en charge l'authentification OAuth Machine to Machine (M2M) avec une application d'authentification de serveur Box qui utilise l'octroi d'identifiants client. L'authentification OAuth utilisateur à machine et l'authentification de base ne sont pas prises en charge.
Box conserve admin_logs_streaming événements pendant 14 jours. La première synchronisation start à la position de Stream 0 et les synchronisations ultérieures reprennent depuis la dernière _stream_position.

Configurer Box pour l’ingestion

Le connecteur s’authentifie auprès d’une application d’authentification de serveur Box qui utilise l’octroi d’identifiants client. Voir Configuration avec l'octroi d'identifiants client.

Connectez-vous à Box et ouvrez la Developer Console.
Sélectionnez Nouvelle application .
Sélectionnez Serveur comme type d'application.
Laissez Accorder les identifiants client sélectionné sous Sélectionner la méthode .
Sélectionnez Créer .
Sous le Configuration tab, définissez Niveau d'accès à l'application sur Accès application + entreprise . La portée Gérer les propriétés de l'entreprise nécessite Accès application + entreprise. Voir Portées.
Sous Étendues de l'application , sélectionnez Gérer les propriétés de l'entreprise . Il s'agit de la seule étendue requise par le connecteur. Voir Obtenir les événements.
Sélectionnez Enregistrer en haut à droite.
Si Détails de l’application n’indique pas Autorisation comme Autorisé , autorisez l’application. Les applications d’authentification de serveur doivent être autorisées avant utilisation. Voir Approbation des applications de la plateforme.
- Si vous êtes administrateur ou co-administrateur d’entreprise et que le Configuration tab vous invite à autoriser, autorisez l’application là-bas.
- Si vous n'êtes pas administrateur ou co-administrateur, sélectionnez Soumettre l'application pour autorisation lorsque vous y êtes invité. Donnez ensuite l' ID client à un administrateur.
- En tant qu'administrateur, vous pouvez également autoriser l'application dans la console d'administration. Sélectionnez Platform dans la barre de navigation à gauche, puis Platform Apps . Sélectionnez Add en haut à droite, ou sélectionnez … sur la ligne de l'application, puis saisissez le Client ID .
Dans Détails de l’application , sous Accès :
- Copiez l’ ID de client .
- Sélectionnez Récupérer le secret . Si Box vous demande de vous reconnecter, connectez-vous, puis copiez le Secret client .
Sélectionnez l'icône de votre compte en haut à droite, puis sélectionnez Copier l'ID d'entreprise . Voir Localisation des ID.

astuce

Lorsque vous créez une connexion via l’interface utilisateur de Lakewatch, saisissez l’ ID client , le Secret client et l’ ID entreprise collectés ci-dessus.

Étapes suivantes

Après avoir effectué la configuration ci-dessus, créez une source de données avec le connecteur Box dans l'interface utilisateur de Lakewatch. Voir Connecteurs API pour obtenir des instructions.

Schémas de connecteur et Lakewatch

Le connecteur ingère la table source suivante à partir du schéma source default :

Table source	Données Box	Analyseur Lakewatch intégré
`event_logs`	Événements d'audit de l'entreprise, tels que l'activité des utilisateurs et des fichiers	`box_event_logs`

Le connecteur écrit chaque table source directement dans la destination configurée pour son analyseur intégré. Par default, la table de destination est nommée <parser>_<datasource>, où <datasource> est le nom de la source de données. Par exemple, avec le nom de source de données default box_audit_logs, la table est box_event_logs_box_audit_logs. Vous pouvez définir une destination différente lors de la création de la source de données. Il n’y a pas de table de staging brute séparée ou d’étape d’analyse ultérieure.

Colonnes gérées par Lakewatch

Le connecteur utilise le champ source event_id comme clé primaire non nulle et le champ source created_at comme curseur pour l’ingestion incrémentale. Contrairement aux connecteurs qui synthétisent un ID Lakewatch, ce connecteur n’ajoute pas de colonne lw_id. L’offset d’API _stream_position n’est pas dans le schéma de destination.

Pour les sources de données Lakewatch, le connecteur ajoute également lw_meta et lw_observables. lw_meta contient l’identité de la source de données et de la connexion, le nom et la version de l’analyseur et l’heure d’ingestion. lw_observables contient les observables de sécurité extraites par le connecteur. Voir Tables de sortie du connecteur.

Schéma de la table de sortie du connecteur

La destination comprend les colonnes source et événement ci-dessous, ainsi que les colonnes lw_meta et lw_observables décrites ci-dessus.

Le schéma suivant comprend les champs d'événement d'audit d'entreprise de Box.

Schéma

Colonne	Type de données
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Colonne	Type de données
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Observables de sécurité

Le connecteur extrait les champs suivants dans lw_observables.

Observables

Champ	Indicateur
`ip_address`	`ip`
`created_by.login`	`email`
`action_by.login`	`email`
`source.login`	`email`
`source.owned_by.login`	`email`
`created_by.id`	`actor_id`
`action_by.id`	`actor_id`

Prérequis​

Limitations connues​

Configurer Box pour l’ingestion​

Étapes suivantes​

Schémas de connecteur et Lakewatch​

Colonnes gérées par Lakewatch​

Schéma de la table de sortie du connecteur​

Observables de sécurité​