Wiz

備考

プレビュー

Lakewatchは プライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

Lakewatchは、Wizから監査ログエントリー、問題、および脆弱性の検出結果を取り込むためのAPIコネクターを提供します。この記事では、前提条件、構成手順、コネクタスキーマ、およびLakewatchパーサーの観測対象について説明します。

前提条件

コネクタには以下が必要です。

1. ワークスペースでServerlessLakeflow Spark Declarative Pipelinesがオンになっています。
2. Unity Catalog。Unity Catalog接続を作成または使用する権限が必要です。接続パーミッションを参照してください。
3. サービスアカウントを作成する管理者権限を持つWizテナントです。
4. 取り込みたい監査ログ、問題、および脆弱性の検出結果に対する読み取りアクセス権をサービス アカウントに付与する権限。

既知の制限事項

• Wiz セキュリティデータは追加専用のフィードとして取り込まれるため、SCDタイプ2はサポートされていません。
• このコネクタは、Wizサービスアカウントを使用したOAuthマシン間 (M2M) 認証をサポートしています。API トークン認証と基本認証はサポートされていません。
• 自動スキーマ進化は、新しいカラムと削除されたカラムをサポートしていますが、データ型の変更やカラム名の変更はサポートしていません。
• 過去の遡及期間は180日を超えることはできません。取り込む期間を選択しますを参照してください。

インジェスト用に Wiz を構成する

このステップでは、Wizにサービスアカウントを作成し、Databricksで接続を作成するために使用する資格情報を記録します。

1. 管理者としてWizテナントにサインインします。

2. コネクター用のサービスアカウントを作成します。

   1. Wizポータルで、 Settings > Access Management > サービスアカウント に移動し、 サービスアカウントを追加 をクリックします。

   2. サービスアカウントのわかりやすい 名前 を入力します。

   3. タイプ で、 カスタム統合 (GraphQL API) を選択します。

   4. 取り込みたいデータのAPIスコープをサービスアカウントに付与します。

      • read:resources （すべての取り込みに必須）
      • admin:audit 監査ログのエントリーを取り込む
      • read:issues 問題をIngestするには
      • read:vulnerabilities 脆弱性スキャン結果を取り込むため

   5. [プロジェクト] 空白のままにします。1つ以上のプロジェクトを選択すると、サービスアカウントが監査Logsをクエリできなくなります。これは、admin:auditスコープがプロジェクトが選択されていない場合にのみ使用できるためです。

   6. サービス アカウントを作成します。

3. サービスアカウントの クライアントID と クライアントシークレット をメモしてください。クライアントシークレットをすぐにコピーしてください。ダイアログを閉じると、Wizはそれを再表示しません。Databricksで接続を作成するときに、これらの値を入力します。

4. テナントの詳細を取得します。Wizポータルの右上にあるプロファイルアイコンをクリックし、「 テナント情報 」をクリックします。Databricksで接続を作成するときに入力する次の値に注意してください。

   • [ 全般 ] tabで、 認証 URL 。これは、コネクターがクライアント資格情報をアクセストークンと交換するために使用するトークンエンドポイントです。たとえば、https://auth.app.wiz.io/oauth/tokenなどです。
   • データセンターとリージョン tabで、データセンター。これが テナントデータセンター です。

ヒント

Lakewatch UI を介して接続を作成する場合、収集した テナントデータセンター 、 クライアントID 、 クライアントシークレット 、および 認証URL を入力します。

情報については、「Wizの認証を設定する」を参照してください。

次のステップ

上記の構成を完了した後、Lakewatch UIでWizコネクタを使用してデータソースを作成します。手順については、「 API コネクタ」を参照してください。

---

ConnectorとLakewatchのスキーマ

コネクタは、default ソーススキーマから次のソーステーブルを取り込みます。

ソーステーブル	Wizデータ	組み込みのLakewatchパーサー
audit_log_entries	ユーザー操作、サービスアカウントのアクティビティ、構成変更	wiz_audit
issues	クラウド環境で検出されたリスク（ステータスと重大度を含む）	wiz_issues
vulnerability_findings	脆弱性、影響を受ける資産、深刻度、および是正ガイダンス	wiz_vulnerability_finding

ソーステーブル	Wizデータ	組み込みのLakewatchパーサー
audit_log_entries	ユーザー操作、サービスアカウントのアクティビティ、構成変更	wiz_audit
issues	クラウド環境で検出されたリスク（ステータスと重大度を含む）	wiz_issues
vulnerability_findings	脆弱性、影響を受ける資産、深刻度、および是正ガイダンス	wiz_vulnerability_finding

コネクターは、各ソーステーブルをデータソースの未加工の宛先に書き込みます。データソースの設定時に解析済み送信先を設定しない限り、各組み込みパーサーは、パーサーの名前を持つ個別の解析済みテーブルに書き込みます。

Lakewatch管理列

コネクタは、各Rawソース行に次の列を追加します。

• lw_id：Lakewatchが主キーとして使用する非Null文字列。コネクターは、timeとWiz idフィールドから、安定した時間でソート可能なIDを導き出します。
• time: 増分取り込みに使用されるTimestamp。audit_log_entries の場合、コネクターは timestamp から time を取得します。issues の場合、 createdAt から time を取得します。vulnerability_findings の場合、 updatedAt から time を取得します。

wiz_issues パーサーは、updatedAtから解析された time フィールドを設定するため、解析されたテーブルは最新の課題の更新時刻を反映します。

各解析済みテーブルはlw_idを保持し、以下を追加します。

• lw_meta：標準的なLakewatch処理メタデータ。
• lw_observables: パーサーのセキュリティ観測可能としてマークされたフィールドから抽出された値。

情報については、「 パーサー リファレンス」を参照してください。

生のコネクタテーブルスキーマ

次のスキーマには、WizフィールドとLakewatch管理下のlw_id列およびtime列が含まれています。フィールド定義については、Wiz コネクタ リファレンスを参照してください。

audit_log_entries

スキーマ

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
action	STRING
requestId	STRING
status	STRING
timestamp	TIMESTAMP
actionParameters	STRING
userAgent	STRING
sourceIP	STRING
serviceAccount	STRUCT<id: STRING, name: STRING>
user	STRUCT<id: STRING, name: STRING>

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
action	STRING
requestId	STRING
status	STRING
timestamp	TIMESTAMP
actionParameters	STRING
userAgent	STRING
sourceIP	STRING
serviceAccount	STRUCT<id: STRING, name: STRING>
user	STRUCT<id: STRING, name: STRING>

issues

スキーマ

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
sourceRule	STRING
createdAt	TIMESTAMP
updatedAt	TIMESTAMP
dueAt	TIMESTAMP
type	STRING
resolvedAt	TIMESTAMP
statusChangedAt	TIMESTAMP
projects	ARRAY<STRUCT<id: STRING, name: STRING, slug: STRING, businessUnit: STRING, riskProfile: STRING>>
status	STRING
severity	STRING
entitySnapshot	STRING
serviceTickets	STRING
notes	STRING

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
sourceRule	STRING
createdAt	TIMESTAMP
updatedAt	TIMESTAMP
dueAt	TIMESTAMP
type	STRING
resolvedAt	TIMESTAMP
statusChangedAt	TIMESTAMP
projects	ARRAY<STRUCT<id: STRING, name: STRING, slug: STRING, businessUnit: STRING, riskProfile: STRING>>
status	STRING
severity	STRING
entitySnapshot	STRING
serviceTickets	STRING
notes	STRING

vulnerability_findings

スキーマ

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
portalUrl	STRING
name	STRING
CVEDescription	STRING
CVSSSeverity	STRING
score	DOUBLE
exploitabilityScore	DOUBLE
impactScore	DOUBLE
dataSourceName	STRING
hasExploit	BOOLEAN
hasCisaKevExploit	BOOLEAN
status	STRING
vendorSeverity	STRING
firstDetectedAt	TIMESTAMP
lastDetectedAt	TIMESTAMP
updatedAt	TIMESTAMP
resolvedAt	TIMESTAMP
description	STRING
remediation	STRING
detailedName	STRING
version	STRING
fixedVersion	STRING
detectionMethod	STRING
link	STRING
locationPath	STRING
resolutionReason	STRING
epssSeverity	STRING
epssPercentile	DOUBLE
epssProbability	DOUBLE
validatedInRuntime	STRING
layerMetadata	STRING
projects	ARRAY<STRUCT<id: STRING, name: STRING, slug: STRING, businessUnit: STRING>>
ignoreRules	ARRAY<STRUCT<id: STRING, name: STRING, enabled: BOOLEAN>>
vulnerableAsset	STRING

列	データ型
lw_id	STRING
time	TIMESTAMP
id	STRING
portalUrl	STRING
name	STRING
CVEDescription	STRING
CVSSSeverity	STRING
score	DOUBLE
exploitabilityScore	DOUBLE
impactScore	DOUBLE
dataSourceName	STRING
hasExploit	BOOLEAN
hasCisaKevExploit	BOOLEAN
status	STRING
vendorSeverity	STRING
firstDetectedAt	TIMESTAMP
lastDetectedAt	TIMESTAMP
updatedAt	TIMESTAMP
resolvedAt	TIMESTAMP
description	STRING
remediation	STRING
detailedName	STRING
version	STRING
fixedVersion	STRING
detectionMethod	STRING
link	STRING
locationPath	STRING
resolutionReason	STRING
epssSeverity	STRING
epssPercentile	DOUBLE
epssProbability	DOUBLE
validatedInRuntime	STRING
layerMetadata	STRING
projects	ARRAY<STRUCT<id: STRING, name: STRING, slug: STRING, businessUnit: STRING>>
ignoreRules	ARRAY<STRUCT<id: STRING, name: STRING, enabled: BOOLEAN>>
vulnerableAsset	STRING

パーサーの観測対象

組み込みパーサーは、入れ子オブジェクトをVARIANTとして書き込み、以下のフィールドをlw_observablesに抽出します。

wiz_audit

可観測項目

フィールド	可観測項目
sourceIP	ip
serviceAccount.id	actor_id
user.id	actor_id
user.name	username

フィールド	可観測項目
sourceIP	ip
serviceAccount.id	actor_id
user.id	actor_id
user.name	username

wiz_issuesパーサーには、観測可能なフィールドが定義されていません。

wiz_vulnerability_finding

可観測項目

フィールド	可観測項目
portalUrl	url
link	url

フィールド	可観測項目
portalUrl	url
link	url