Aller au contenu principal
Dernière mise à jour le

Présentation de Lakewatch

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l'accès, contactez votre équipe de compte Databricks.

Lakewatch est une fonctionnalité de Databricks qui intègre des fonctionnalités de gestion des événements et des informations de sécurité (SIEM) directement dans votre lakehouse. Cela permet aux équipes de sécurité de détecter les menaces, d'enquêter sur les incidents et de répondre aux événements de sécurité.

Que fait Lakewatch ?​

Avec Lakewatch, les équipes de sécurité disposent d’un lieu unique pour :

  • Ingérez des données de sécurité à partir de sources telles que CrowdStrike, Okta, AWS CloudTrail, etc., à l'aide de connecteurs gérés, de chemins de stockage cloud ou de tables existantes dans votre Workspace.
  • Schématisez les données dans des tables gouvernées avec un ensemble cohérent de champs standard, en utilisant des parseurs, afin de pouvoir écrire des règles de détection et de query qui fonctionnent sur différentes sources de données.
  • Détectez les menaces grâce à des règles de détection basées sur SQL qui s’exécutent selon un calendrier.
  • Étudiez les incidents grâce aux alertes qui regroupent automatiquement les signaux associés, suivent les scores de risque des entités et link aux événements et entités impliqués.
  • query les données de sécurité avec SQL directement dans l'interface utilisateur Lakewatch, avec prise en charge du filtrage par plage horaire, des améliorations sans code et de l'inspection détaillée des lignes.
  • Enquêtez avec l’IA en utilisant Genie, un assistant IA sensible au contexte qui vous aide à rédiger des query, à créer des règles de détection et à enquêter sur les menaces en langage naturel.

Comment ça marche​

Lakewatch utilise des datasources pour importer des données de sécurité dans votre workspace. Une datasource associe une méthode d'ingestion (comment les données brutes sont lues) à un ou plusieurs parsers qui schématisent les données brutes en tables Unity Catalog régies :

  • Données brutes : données non traitées lues à partir de sources externes par la méthode d'importation de la source de données.
  • Tables analysées : tables schématisées écrites par les analyseurs de la source de données. Chaque analyseur décrit les colonnes de sortie d’une source de logs et ajoute les colonnes lw_id, lw_meta et lw_observables gérées par Lakewatch.

: Les données analysées sont prêtes pour l'analyse de sécurité :

  • Les règles de détection exécutent des queries SQL sur vos tables analysées selon une planification. Lorsque les conditions d'une règle sont remplies, elle génère un signal: un enregistrement de ce qui a été détecté, du moment où cela s'est produit et des entités impliquées.
  • Lakewatch corréle automatiquement les signaux associés en alertes pour enquête. Les analystes peuvent affecter, classer et suivre les alertes jusqu'à leur résolution, et les exporter vers Jira, ServiceNow ou Tines.
  • La page de query vous permet d'exécuter des requêtes SQL sur vos données de sécurité pour une investigation ponctuelle, avec la prise en charge du filtrage par plage temporelle, des affinements sans code et une inspection détaillée des lignes.

Lakewatch surveille également ses propres pipelines et génère des événements système lorsqu'il détecte des problèmes de traitement ou des erreurs de configuration. Ces derniers sont suivis dans des erreurs système distinctes.

La page Présentation​

Lorsque vous ouvrez Lakewatch, vous arrivez sur la page Vue d’ensemble , votre page d’accueil. Il résume les activités d'ingestion, de détection et d'alerte sur votre workspace et vous offre un accès rapide à Genie pour une investigation en langage naturel. Dans un nouveau Workspace, les panneaux sont vides start et se remplissent à mesure que vous créez des sources de données et des règles de détection, et que les détections génèrent des alertes.

Ressources supplémentaires​

Sur cette page