Logs d'audit Box

Lakewatch fournit un connecteur API pour ingérer les événements d'audit d'entreprise à partir de Box. Cet article couvre les prérequis, les instructions de configuration, le schéma du connecteur et les indicateurs de l'analyseur Lakewatch.

Prérequis

Le connecteur nécessite :

LakeFlow Pipelines Serverless activés dans votre Workspace.
Unity Catalog, avec des autorisations pour créer ou utiliser une connexion Unity Catalog. Voir Autorisations de connexion.
L'authentification multifacteur (MFA) est activée sur le compte Box qui crée l'application. Box exige une authentification multifacteur (MFA) avant d'afficher le secret client. Voir Configuration avec l'octroi d'identifiants client.
Un administrateur d’entreprise ou un co-administrateur disposant de l’autorisation Exécuter de nouveaux rapports et accéder aux rapports existants . L’API Events requiert cette autorisation. Voir Obtenir des événements d’entreprise. Pour un co-administrateur, activez cette autorisation dans la section Rôle et autorisation d’accès de la page des détails du co-administrateur. Voir Autorisations de co-administrateur requises pour exécuter des rapports.

Limitations connues

La dimension à évolution lente (SCD) de type 2 n'est pas prise en charge car le schéma de destination comprend des colonnes VARIANT.
Le connecteur prend en charge l'authentification OAuth Machine to Machine (M2M) avec une application d'authentification de serveur Box qui utilise l'octroi d'identifiants client. L'authentification OAuth utilisateur à machine et l'authentification de base ne sont pas prises en charge.
Box conserve admin_logs_streaming événements pendant 14 jours. La première synchronisation start à la position de Stream 0 et les synchronisations ultérieures reprennent depuis la dernière _stream_position.

Configurer Box pour l’ingestion

Le connecteur s’authentifie auprès d’une application d’authentification de serveur Box qui utilise l’octroi d’identifiants client. Voir Configuration avec l'octroi d'identifiants client.

Connectez-vous à Box et ouvrez la Developer Console.
Sélectionnez Nouvelle application .
Sélectionnez Serveur comme type d'application.
Laissez Accorder les identifiants client sélectionné sous Sélectionner la méthode .
Sélectionnez Créer .
Sous le Configuration tab, définissez Niveau d'accès à l'application sur Accès application + entreprise . La portée Gérer les propriétés de l'entreprise nécessite Accès application + entreprise. Voir Portées.
Sous Étendues de l'application , sélectionnez Gérer les propriétés de l'entreprise . Il s'agit de la seule étendue requise par le connecteur. Voir Obtenir les événements.
Sélectionnez Enregistrer en haut à droite.
Si Détails de l’application n’indique pas Autorisation comme Autorisé , autorisez l’application. Les applications d’authentification de serveur doivent être autorisées avant utilisation. Voir Approbation des applications de la plateforme.
- Si vous êtes administrateur ou co-administrateur d’entreprise et que le Configuration tab vous invite à autoriser, autorisez l’application là-bas.
- Si vous n'êtes pas administrateur ou co-administrateur, sélectionnez Soumettre l'application pour autorisation lorsque vous y êtes invité. Donnez ensuite l' ID client à un administrateur.
- En tant qu'administrateur, vous pouvez également autoriser l'application dans la console d'administration. Sélectionnez Platform dans la barre de navigation à gauche, puis Platform Apps . Sélectionnez Add en haut à droite, ou sélectionnez … sur la ligne de l'application, puis saisissez le Client ID .
Dans Détails de l’application , sous Accès :
- Copiez l’ ID de client .
- Sélectionnez Récupérer le secret . Si Box vous demande de vous reconnecter, connectez-vous, puis copiez le Secret client .
Sélectionnez l'icône de votre compte en haut à droite, puis sélectionnez Copier l'ID d'entreprise . Voir Localisation des ID.

astuce

Lorsque vous créez une connexion via l’interface utilisateur de Lakewatch, saisissez l’ ID client , le Secret client et l’ ID entreprise collectés ci-dessus.

Étapes suivantes

Après avoir effectué la configuration ci-dessus, créez une source de données avec le connecteur Box dans l'interface utilisateur de Lakewatch. Voir Connecteurs API pour obtenir des instructions.

Schémas de connecteur et Lakewatch

Le connecteur ingère la table source suivante à partir du schéma source default :

Table source	Données Box	Analyseur Lakewatch intégré
`event_logs`	Événements d'audit de l'entreprise, tels que l'activité des utilisateurs et des fichiers	`box_event_logs`

Le connecteur écrit la table source dans la destination brute de la source de données. L’analyseur intégré écrit une table analysée distincte nommée d’après l’analyseur, sauf si vous définissez une destination analysée lorsque vous configurez la source de données.

Colonnes gérées par Lakewatch

Le connecteur utilise le champ source event_id comme clé primaire non nulle et le champ source created_at comme curseur pour l’ingestion incrémentale. Contrairement aux connecteurs qui synthétisent un ID Lakewatch, ce connecteur n’ajoute pas de colonne lw_id. L’offset d’API _stream_position n’est pas dans le schéma de destination.

Pour les pipelines créés par Lakewatch, le connecteur ajoute également lw_meta et lw_observables à la table brute. lw_meta contient les métadonnées de traitement Lakewatch standard. lw_observables contient des valeurs extraites de champs marqués comme indicateurs de sécurité. La table analysée transfère ces colonnes. Voir la référence de l’analyseur.

Schéma de table de connecteur brut

Le schéma suivant comprend les champs d'événement d'audit d'entreprise de Box.

Schéma

Colonne	Type de données
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Colonne	Type de données
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Indicateurs de l’analyseur

L’analyseur box_event_logs écrit des objets imbriqués sous la forme VARIANT et extrait les champs suivants dans lw_observables.

Indicateurs

Champ	Indicateur
`ip_address`	`ip`
`created_by.login`	`email`
`action_by.login`	`email`
`source.login`	`email`
`source.owned_by.login`	`email`
`created_by.id`	`actor_id`
`action_by.id`	`actor_id`

Prérequis​

Limitations connues​

Configurer Box pour l’ingestion​

Étapes suivantes​

Schémas de connecteur et Lakewatch​

Colonnes gérées par Lakewatch​

Schéma de table de connecteur brut​

Indicateurs de l’analyseur​