コンテンツライブラリ
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
コンテンツライブラリは、Databricksが作成した定義済み 検出ルール を検索してLakewatchカタログにインストールする場所です。
コンテンツライブラリを開くには、Lakewatchのサイドバーで コンテンツライブラリ に移動します。コンテンツライブラリには、カタログにインストールできる事前構築済みの検出ルールが表示されます。フィルターと検索ボックスを使用して、リストを絞り込みます。
検出ルールを参照する
コンテンツライブラリには、事前に作成された利用可能なすべてのルールが、検索可能なフィルタリング可能なリストに整理されて表示されます。ライブラリには、通常、複数のページにまたがる数十のルールが含まれています。リストの各ルールには、次のものが表示されます。
- ルール ：ルール名。クリックすると詳細が開きます。
- 重大度 : ルールの重大度レベル（情報、低、中、高、またはクリティカル）。
- MITREの戦術 ：このルールが関連付けられているMITRE ATT&CKの戦術。
- MITREテクニック ：ルールがマップされるMITRE ATT&CKテクニックおよびテクニックID。
- 一致するデータソース ：パーサーを使用するルールクエリーのカタログ内のデータソース。この列は、既にインポート済みのデータにどのルールが適用されるかを示します。一致するデータソースがないルールは
—と表示されます。
詳細を確認するには、ルールをクリックして詳細パネルを開きます。そこにはルールのソースコンテンツパック、目的、および忠実度も表示されます。 インポート パネルからインストールを起動するか、以下のようにリストからルールを選択できます。
検出ルールのインストール
コンテンツライブラリから現在の環境にルールをインストールします。複数のルールを同時にインストールできます。
検出ルールは「現状有姿」で提供されるため、いかなる保証も行われません。また、Databricksによってサポートされることはありません。ルールをインストールする前に、各ルールを確認してユースケースに適していることを確認してください。
- Lakewatchのサイドバーで、 コンテンツライブラリ に移動します。
- 行のチェックボックスを使用して、インストールするルールを選択します。ルールの詳細を事前に確認するには、ルールをクリックして詳細パネルを開きます。
- ルールをインポート （または N ルールのインポート ）をクリックします。インポートダイアログが開きます。
- SQLテーブル で、ルールがクエリーするテーブルごとにソーステーブルを設定します。Lakewatchは、パーサーがルールと一致する最初のデータソースからテーブルを事前に選択します。そのため、データソースと一致するルールをインストールする準備が整います。別のテーブルが必要な場合は、テーブルを変更してください。続行する前に、すべてのテーブルを設定する必要があります。
- ルール名を変更したり、クエリーするテーブルを上書きしたりするには、 インポートするルール の下で展開します。最終的なクエリーを確認するには、ルールの「 プレビュー 」をクリックして、テーブルが置き換えられたSQLを表示します。
- インポート をクリックします。Lakewatchはルールを一度に1つずつ環境にインストールします。ルールが作成されるたびに、緑色のチェックマークと View rule Linkが表示されます。ルールが失敗した場合、そのエラーがダイアログに表示されます。
- 完了 をクリックしてダイアログを閉じるか、 ルールの表示 Linkを選択して新しくインストールしたルールを開きます。ルールは無効としてインストールされます。
- 検出ルール に移動してルールを有効にし、そのスケジュールを構成します。
インストール済みのルールは、環境内のコピーです。作成するルールと同様に機能し、検出ルールから管理できます。同じ名前のルールが既に存在する場合、Lakewatchは新しいルールの名前にサフィックスを追加します。