AWS GuardDuty

備考

プレビュー

Lakewatchはプライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

概要

AWS GuardDutyは、悪意のあるアクティビティや不正な動作がないか、AWSアカウントとワークロードを継続的に監視する脅威検出サービスです。Lakewatchは、Auto Loaderを使用してクラウドストレージからAWS GuardDutyを取り込み、組み込みの aws_guardduty パーサーでデータをスキーマ化します。これはクラウドストレージソースであり、APIコネクタではありません。

AWS GuardDutyのオンボーディング

AWS GuardDutyを取り込むには、そのクラウドストレージデータソースを作成し、組み込みの aws_guardduty パーサーをアタッチして、イベントがスキーマ化されたパース済みテーブルに書き込まれるようにします。前提条件、Unity Catalogへのアクセス、および完全なデータソースのセットアップステップについては、クラウドストレージを参照してください。

解析済みスキーマとオブザーバブル

組み込みのaws_guarddutyパーサーは、AWS GuardDutyを解析済みテーブルにスキーマ化します。すべての解析済みテーブルには、Lakewatchで管理される次の列も含まれます。

• lw_id: Lakewatchがプライマリキーとして使用するnull以外の文字列。増分読み取り全体で重複除去をサポートします。
• time：パーサーによって割り当てられた、NULL以外のイベントTimestamp。
• lw_meta: 標準のLakewatch処理メタデータ。
• lw_observables：パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。

情報については、 パーサー リファレンスを参照してください。

解析されたテーブルスキーマ

aws_guarddutyパーサーは、以下の列を書き込みます（パーサー定義から生成）：

列	データ型
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

列	データ型
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

パーサーのオブザーバブル

パーサーは、以下のフィールドをlw_observablesに抽出します（パーサー定義から生成）。

フィールド	可観測項目
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

フィールド	可観測項目
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

以下のVARIANTフィールドは、入れ子になったキー名と一致することで、可観測項目がスキャンされます。各フィールドから抽出された可観測項目の種類は次のとおりです。

フィールド	スキャンされた観測可能タイプ
resource	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.additionalInfo	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.action	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.detection	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username

フィールド	スキャンされた観測可能タイプ
resource	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.additionalInfo	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.action	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username
service.detection	actor_id、aws_account_id、aws_arn、aws_instance_id、domain、ip、resource_tag、trace_id、 username