Lakewatchの概要
備考
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
Lakewatchは、セキュリティ情報およびイベント管理（SIEM）の機能をlakehouse環境に直接もたらすDatabricksの機能です。これにより、セキュリティチームは脅威を検知し、インシデントを調査し、セキュリティイベントに対応できるようになります。
Lakewatch とは何ですか？
Lakewatchは、セキュリティチームに単一の場所を提供し、以下を行います。
- セキュリティデータを取り込む には、CrowdStrike、Okta、AWS CloudTrailなどのソースから、マネージドコネクタ、クラウドストレージパス、またはワークスペース内の既存テーブルを使用します。
- パーサーを使用して、一貫した標準フィールドのセットを持つガバナンス対象テーブルに データをスキーマ化 することで、異なるデータソース間で機能する検出ルールとクエリーを記述できます。
- スケジュールに基づいて実行されるSQLベースの検出ルールで、 脅威を検出 します。
- 関連するシグナルを自動的にグループ化し、エンティティのリスクスコアを追跡し、関与するイベントやエンティティへのリンクを提供するアラートを通じて、 インシデントを調査 します。
- Lakewatch UIで直接SQLを使って セキュリティデータをクエリー できます。タイムレンジのフィルタリング、ノーコードの調整、詳細な行の検査がサポートされています。
- Genieを使って AIを活用した調査 を行いましょう。Genieは、自然言語を使ってクエリーを作成し、検出ルールを構築し、脅威を調査するのを支援する、コンテキストを理解する AI アシスタントです。
仕組み
Lakewatchはデータソースを使用して、セキュリティデータをワークスペースに取り込みます。データソースは、 取り込み方法 （生データの読み取り方法）と、生データをガバナンス対象のUnity Catalogテーブルにスキーマ化する1つ以上の パーサー を組み合わせたものです。
- 生データ : データソースの取り込み方法によって外部ソースから読み取られた未処理のデータ。
- パース済みテーブル : データソースのパーサーによって書き込まれるスキーマ化されたテーブル。各パーサーは、ログソースの出力列を記述し、Lakewatchで管理される
lw_id、lw_meta、およびlw_observables列を追加します。
解析されたデータは、セキュリティ分析の準備が完了しています:
- 検出ルールは、解析済みテーブルに対してスケジュールに従ってSQLクエリーを実行します。ルールの条件に一致すると、シグナルが生成されます。これは、検出された内容、発生時刻、関与したエンティティを記録したものです。
- Lakewatchは関連するシグナルを自動的に相関させ、調査用のアラートにまとめます。アナリストはアラートを割り当て、分類し、解決まで追跡できます。また、アラートをJira、ServiceNow、またはTinesにエクスポートすることもできます。
- クエリーページを使用すると、セキュリティデータ全体でSQLクエリーを実行してアドホック調査を行えます。時間範囲フィルタリング、コードなしの絞り込み、詳細な行インスペクションもサポートされています。
Lakewatchは独自のパイプラインも監視し、処理の問題や構成エラーを検出すると システム イベントを生成します。これらは別のシステムエラーで追跡されます。
概要ページ
Lakewatchを開くと、ホームページである 概要 ページが表示されます。ワークスペース全体の取り込み、検出、アラートのアクティビティを要約し、自然言語による調査のためにGenieへの高速パスを提供します。新しいワークスペースでは、パネルは空ですが、データソースと検出ルールを作成し、検出によってアラートが生成されるとパネルに情報が入力されます。
その他のリソース
- エンドツーエンドのチュートリアル: Lakewatchの主要なワークフローを説明します。
- データの取り込み: データソースの作成と管理を行います。