Parcourir Lakewatch de bout en bout

info

Bêta

Lakewatch est en version bêta. Les administrateurs de Workspace peuvent contrôler l’accès à cette fonctionnalité à partir de la page Aperçus . Consultez Gérer les aperçus au niveau de Workspace.

Ce guide décrit le workflow Lakewatch de bout en bout, de l'ingestion des données à l'exécution de règles de détection, en passant par l'examen des alertes et le monitoring de l'état du système.

Avant de commencer

remarque

Avant de commencer

Lakewatch est configuré une fois pour chaque workspace. La première fois que Lakewatch est ouvert, un flux de configuration guidé crée son environnement, ce qui nécessite CREATE CATALOG sur le metastore, ou MANAGE et CREATE SCHEMA sur un catalogue existant. Voir Configurer Lakewatch pour votre workspace.

Vous avez également besoin de :

• Accès aux dossiers dans lesquels vous travaillez. Si Lakewatch a été configuré avec la configuration recommandée, tous les utilisateurs du compte y ont déjà accès. Sinon, demandez à un administrateur de vous attribuer des groupes d’autorisations sur ces dossiers.
• Un SQL warehouse sélectionné dans le sélecteur de warehouse dans la barre de navigation supérieure. Voir SQL warehouse.

Ingérer et schématiser les données

Lakewatch ingère des données à l'aide de sources de données, qui combinent une méthode d'ingestion (comment les données brutes sont lues) avec un ou plusieurs analyseurs (qui schématisent les données brutes en tables régies). Vous pouvez créer et gérer des sources de données dans l'interface utilisateur.

Ingérez des données brutes en utilisant l’une des trois méthodes :

• Stockage cloud : pointez vers des fichiers dans un magasin d'objets pris en charge ( par exemple, un compartiment S3 ou un chemin /Volumes/).
• Table existante : ingérez une table ou une vue Unity Catalog qui existe déjà dans votre Workspace, sans copier les données.
• Connecteurs d’API : utilisez un connecteur d’API pour extraire des données directement d’applications SaaS (software as a service), telles que CrowdStrike, Okta, etc.

Schématisez les données brutes avec des analyseurs. Chaque analyseur décrit les colonnes de sortie d'une source de log et écrit une table analysée avec les colonnes lw_id, lw_meta et lw_observables gérées par Lakewatch. Les événements entrants sont classés selon le premier analyseur correspondant ; les événements sans correspondance sont routés vers un sentinelle de courrier mort. Les tables analysées sont prêtes pour l'analyse de sécurité avec des règles de détection et des queries.

Pour en savoir plus, consultez Créer et gérer des sources de données.

Créer et exécuter des règles de détection

Accédez à Règles de détection pour créer des règles de détection. Vous pouvez classer les règles à l’aide du framework MITRE ATT&CK ou d’un framework personnalisé, définir un calendrier de traitement et définir la sortie du signal.

Les règles de détection Lakewatch sont créées en SQL ou en syntaxe SQL pipe.

Pour en savoir plus, consultez les règles de détection.

Étudier les alertes

Les règles de détection génèrent des signaux lorsque des événements correspondent à leurs critères. Lakewatch corrèle automatiquement les signaux associés en alertes. Accédez à Alertes pour voir, assigner et gérer les alertes. Ouvrez une alerte pour passer en revue ses signaux et les règles de détection qui les ont Trigger.

Vous pouvez également exporter les alertes vers ServiceNow, Tines, un webhook ou Jira, ou trier une alerte avec Genie.

Pour en savoir plus, consultez Alertes.

Query de données

Allez sur query pour exécuter des query SQL sur vos données de sécurité. La page query prend en charge le filtrage par plage temporelle, les affinements sans code, une visualisation chronologique et l’examen détaillé des lignes.

Pour en savoir plus, consultez query les données.

Enquêter avec Genie

Genie peut vous aider à examiner les événements de sécurité en langage naturel.

• Genie Code : l’assistant IA disponible dans l’interface utilisateur de Lakewatch. Utilisez-le pour écrire des queries SQL, créer des règles de détection, explorer des sources de données, et plus encore. Cliquez sur Genie dans le menu de gauche, ou cliquez sur Genie Code dans la barre supérieure pour l’ouvrir à côté de n’importe quelle page. Pour en savoir plus, consultez les exemples d’invites de Genie Code.

• Genie Agents : un environnement dédié aux travaux d’investigation approfondis avec la fonctionnalité Research Agent de Genie. Connectez vos tables analysées et les vues signals et system_events dans le schéma __lakewatch de votre catalogue à un agent Genie Agent, puis utilisez le raisonnement en plusieurs étapes, la génération SQL et le mappage MITRE ATT&CK pour investiguer les menaces. Pour en savoir plus, consultez Configurer un agent Genie Agent pour l’intelligence des menaces.

Surveiller la santé du système

Lorsqu’une règle de détection ou une source de données échoue, ou que Lakewatch détecte un problème de configuration dans l’une d’entre elles, Lakewatch ouvre une erreur système et regroupe les échecs répétés à l’intérieur. Accédez à Erreurs système pour afficher, affecter et gérer les erreurs système, puis ouvrez la Erreurs tab d’une erreur système pour voir chaque échec.

Pour en savoir plus, consultez Erreurs système.

La page Présentation

La page Présentation est votre page d’accueil Lakewatch ; elle résume l’ingestion, la détection et l’activité d’alerte avec un accès rapide à Genie.