Parcourir Lakewatch de bout en bout

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.

Ce guide décrit le workflow Lakewatch de bout en bout, de l'ingestion des données à l'exécution de règles de détection, en passant par l'examen des alertes et le monitoring de l'état du système.

Ingérer et schématiser les données

Lakewatch ingère des données à l'aide de sources de données, qui combinent une méthode d'ingestion (comment les données brutes sont lues) avec un ou plusieurs analyseurs (qui schématisent les données brutes en tables régies). Vous pouvez créer et gérer des sources de données dans l'interface utilisateur.

Ingérez des données brutes en utilisant l’une des trois méthodes :

• Stockage cloud : pointez vers des fichiers dans un magasin d'objets pris en charge ( par exemple, un compartiment S3 ou un chemin /Volumes/).
• Table existante : ingérez une table ou une vue Unity Catalog qui existe déjà dans votre Workspace, sans copier les données.
• Connecteurs API : utilisez un connecteur géré pour extraire les données directement d'applications SaaS telles que CrowdStrike, Okta et d'autres.

Schématisez les données brutes avec des analyseurs. Chaque analyseur décrit les colonnes de sortie d'une source de log et écrit une table analysée avec les colonnes lw_id, lw_meta et lw_observables gérées par Lakewatch. Les événements entrants sont classés selon le premier analyseur correspondant ; les événements sans correspondance sont routés vers un sentinelle de courrier mort. Les tables analysées sont prêtes pour l'analyse de sécurité avec des règles de détection et des queries.

Pour en savoir plus, consultez Créer et gérer des sources de données.

Créer et exécuter des règles de détection

Accédez à Règles de détection pour créer des règles de détection. Vous pouvez classer les règles à l’aide du framework MITRE ATT&CK ou d’un framework personnalisé, définir un calendrier de traitement et définir la sortie du signal.

Les règles de détection Lakewatch sont créées en SQL ou en syntaxe SQL pipe.

Pour en savoir plus, consultez les règles de détection.

Étudier les alertes

Les règles de détection génèrent des signaux lorsque des événements correspondent à leurs critères. Lakewatch corrèle automatiquement les signaux associés en alertes. Accédez à Alertes pour voir, assigner et gérer les alertes. Ouvrez une alerte pour passer en revue ses signaux et les règles de détection qui les ont Trigger.

Vous pouvez également exporter les alertes vers ServiceNow, Tines, un webhook ou Jira, ou trier une alerte avec Genie.

Pour en savoir plus, consultez Alertes.

Query de données

Allez sur query pour exécuter des query SQL sur vos données de sécurité. La page query prend en charge le filtrage par plage temporelle, les affinements sans code, une visualisation chronologique et l’examen détaillé des lignes.

Pour en savoir plus, consultez query les données.

Enquêter avec Genie

Genie peut vous aider à examiner les événements de sécurité en langage naturel.

• Genie Code est l'assistant IA disponible dans l'interface utilisateur de Lakewatch. Utilisez-le pour écrire des queries SQL, créer des règles de détection, explorer des sources de données, etc. Cliquez sur Genie dans le menu de gauche, ou cliquez sur l’icône Genie dans le coin supérieur droit pour l’ouvrir à côté de n’importe quelle page. Pour en savoir plus, consultez les Exemples de prompts Genie Code.

• Les agents Genie offrent un environnement dédié à un travail d'investigation approfondi avec le Research Agent Genie. Connectez vos tables analysées et vos tables système à un Genie Agent, puis utilisez le raisonnement en plusieurs étapes, la génération SQL et le mappage MITRE ATT&CK pour enquêter sur les menaces. Pour en savoir plus, consultez la page Configurer un Genie Agent pour les renseignements sur les menaces.

Surveiller la santé du système

Lorsque Lakewatch détecte des problèmes de santé ou de configuration du système, il génère des événements système et les regroupe en erreurs système. Accédez à Erreurs système pour afficher, assigner et gérer les erreurs système et leurs événements associés.

Pour en savoir plus, consultez Erreurs système.

La page Présentation

La page Présentation est votre page d’accueil Lakewatch ; elle résume l’ingestion, la détection et l’activité d’alerte avec un accès rapide à Genie.