AWS GuardDuty

info

Visualização

O Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua conta da Databricks.

Visão geral

O AWS GuardDuty é um serviço de detecção de ameaças que monitora continuamente suas account e cargas de trabalho da AWS em busca de atividades maliciosas e comportamento não autorizado. O Lakewatch ingere o AWS GuardDuty do cloud storage usando o Auto Loader e esquematiza os dados com o parser aws_guardduty integrado. Esta é uma fonte de cloud storage, não um conector de API.

Integrar AWS GuardDuty

Para ingerir o AWS GuardDuty, crie uma fonte de dados de armazenamento em cloud integrada para ele e anexe o analisador aws_guardduty para que os eventos sejam gravados em uma tabela analisada esquematizada. Para os pré-requisitos, o acesso ao Unity Catalog e os passos completos de configuração da fonte de dados, consulte Armazenamento na cloud.

Esquema e observáveis analisados

O analisador aws_guardduty integrado esquematiza o AWS GuardDuty em uma tabela analisada. Cada tabela analisada também carrega as colunas gerenciadas pelo Lakewatch:

• lw_id: Uma strings não nula que o Lakewatch usa como chave primária key, permitindo a desduplicação em leituras incrementais.
• time: Um timestamp de evento não nulo atribuído pelo analisador.
• lw_meta: Metadados de processamento padrão do Lakewatch.
• lw_observables: valores extraídos de campos marcados como observáveis de segurança no analisador.

Para obter mais informações, consulte a Referência do parser.

Esquema da tabela analisada

O analisador aws_guardduty grava as seguintes colunas (geradas a partir da definição do analisador):

Coluna	Tipo de dados
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

Coluna	Tipo de dados
schemaVersion	STRING
accountId	STRING
region	STRING
partition	STRING
id	STRING
arn	STRING
type	STRING
resource	VARIANT
severity	DOUBLE
createdAt	TIMESTAMP
time	TIMESTAMP
title	STRING
description	STRING
service	STRUCT<additionalInfo: VARIANT, action: VARIANT, serviceName: STRING, detectorId: STRING, resourceRole: STRING, eventFirstSeen: TIMESTAMP, eventLastSeen: TIMESTAMP, archived: BOOLEAN, count: BIGINT, featureName: STRING, runtimeDetails: VARIANT, detection: VARIANT>
associatedAttackSequenceArn	STRING

Observáveis do analisador

O analisador extrai os seguintes campos para lw_observables (gerados a partir da definição do analisador):

campo	Observável
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

campo	Observável
accountId	aws_account_id
arn	aws_arn
associatedAttackSequenceArn	aws_arn

Os seguintes campos VARIANT são verificados em busca de observáveis combinando nomes de key aninhadas; os tipos de observáveis extraídos de cada um:

campo	Tipos observáveis digitalizados
resource	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.additionalInfo	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.action	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.detection	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username

campo	Tipos observáveis digitalizados
resource	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.additionalInfo	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.action	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username
service.detection	actor_id, aws_account_id, aws_arn, aws_instance_id, domain, ip, resource_tag, trace_id, username