Percorra o Lakewatch de ponta a ponta

info

Visualização

Lakewatch está em Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.

Este guia percorre o fluxo de trabalho principal do Lakewatch de ponta a ponta, desde a ingestão de dados até a execução de regras de detecção, investigação de alertas e monitoramento da integridade do sistema.

Ingerir e esquematizar dados

O Lakewatch ingere dados usando fontes de dados, que combinam um método de ingestão (como os dados brutos são lidos) com um ou mais parsers (que esquematizam os dados brutos em tabelas governadas). Você pode criar e gerenciar fontes de dados na UI.

Ingerir dados brutos usando um dos três métodos:

• Armazenamento em cloud : indique arquivos em um armazenamento de objetos compatível (por exemplo, um bucket do S3 ou um caminho /Volumes/).
• Tabela existente : ingira uma tabela ou view do Unity Catalog que já existe no seu workspace sem copiar os dados.
• Conectores de API : use um conector gerenciado para extrair dados diretamente de aplicativos de software como serviço (SaaS), como CrowdStrike, Okta e outros.

Esquematize os dados brutos com analisadores. Cada analisador descreve as colunas de saída de uma fonte de log e escreve uma tabela analisada com as colunas lw_id, lw_meta e lw_observables gerenciadas pelo Lakewatch. Os eventos de entrada são classificados no primeiro analisador correspondente; eventos não correspondentes são encaminhados para um sentinela de dead-letter. As tabelas analisadas estão prontas para análise de segurança com regras de detecção e queries.

Para saber mais, consulte Criar e gerenciar fontes de dados.

Criar e fazer execução de regras de detecção

Vá para Regras de detecção para criar regras de detecção. Você pode categorizar regras usando o framework MITRE ATT&CK ou um framework personalizado, programar o processamento e definir a saída de sinal.

As regras de detecção do Lakewatch são criadas em SQL ou na sintaxe de pipe SQL.

Para saber mais, consulte Regras de detecção.

Investigar alertas

As regras de detecção geram sinais quando os eventos correspondem aos seus critérios. O Lakewatch correlaciona automaticamente sinais relacionados em alertas. Vá para Alertas para view, atribuir e gerenciar alertas. Abra um alerta para analisar seus sinais e as regras de detecção que os acionaram.

Você também pode exportar alertas para o ServiceNow, Tines, um webhook ou Jira, ou fazer a triagem de um alerta com o Genie.

Para obter mais informações, consulte Alertas.

query dados

Vá para Query para execução SQL queries sobre seus dados de segurança. A página de query oferece suporte a filtragem de intervalo de tempo, refinamentos sem código, visualização de linha do tempo e inspeção detalhada de linhas.

Para saber mais, consulte query dados.

Investigar com o Genie

O Genie pode ajudar você a investigar eventos de segurança usando linguagem natural.

• Genie Code é o assistente de AI disponível na UI do Lakewatch. Use-o para escrever query SQL, criar regras de detecção, explorar fontes de dados e muito mais. Clique em Genie no menu à esquerda ou clique no ícone do Genie no canto superior direito para abri-lo junto com qualquer página. Para saber mais, consulte prompts de exemplo do Genie Code.

• Genie Agents oferecem um ambiente dedicado para trabalho de investigação profunda com o Genie Research Agent. Conecte suas tabelas analisadas e tabelas de sistema a um Genie Agent e use raciocínio em múltiplas etapas, geração de SQL e mapeamento MITRE ATT&CK para investigar ameaças. Para saber mais, consulte Configurar um Genie Agent para inteligência de ameaças.

Monitorar a integridade do sistema

Quando o Lakewatch detecta problemas de integridade ou configuração do sistema, ele gera eventos de sistema e os agrupa em erros de sistema. Vá para Erros de sistema para view, atribuir e gerenciar erros de sistema e seus eventos associados.

Para saber mais, consulte Erros de sistema.

A página de visão geral

A página de visão geral é sua página inicial do Lakewatch, resumindo atividades de ingestão, detecção e alerta com um caminho rápido para o Genie.