Logs de auditoria do Box

O Lakewatch fornece um conector de API para ingerir eventos de auditoria corporativa do Box. Este artigo aborda pré-requisitos, instruções de configuração, o esquema do conector e observáveis de segurança.

Pré-requisitos

O conector requer:

LakeFlow Pipelines Serverless ativados em seu Workspace.
Unity Catalog, com privilégios para criar ou usar uma conexão do Unity Catalog. Consulte Permissões de conexão.
A prévia do Lakeflow Connect for Box Audit Logs foi ativada em seu workspace por um administrador de workspace. Consulte Ativar a prévia do conector.
Se a política de rede serverless do seu workspace usar acesso restrito, os domínios da API da origem deverão estar na lista de Domínios permitidos da política. Consulte Permitir os domínios da API de origem em sua política de rede.
Autenticação multifatorial (MFA) habilitada na account Box que cria o aplicativo. Box requer MFA antes de mostrar o segredo do cliente. Consulte Configuração com autorização de credenciais de cliente.
Um administrador empresarial ou um coadministrador com a permissão Executar novos relatórios e acessar relatórios existentes . A API de eventos requer essa permissão. Consulte Obter eventos corporativos. Para um coadministrador, habilite essa permissão na seção Permissão de Função e Acesso da página de detalhes do coadministrador. Consulte Permissões de coadministrador necessárias para execução de relatórios.

Limitações conhecidas

Dimensões que mudam lentamente (SCD) tipo 2 não são suportadas porque o esquema de destino inclui colunas VARIANT.
O conector oferece suporte à autenticação OAuth machine-to-machine (M2M) com um aplicativo de autenticação de servidor do Box que usa a concessão de credenciais de cliente. Não há suporte para autenticação OAuth user-to-machine e básica.
O Box retém admin_logs_streaming eventos por 14 dias. A primeira sincronização começa na posição de transmissão 0 e as sincronizações posteriores continuam a partir do último _stream_position.

Configurar o Box para ingestão

O conector autentica-se com um aplicativo de autenticação de servidor Box que usa a concessão de credenciais de cliente. Veja Configuração com Concessão de Credenciais de Cliente.

Entre no Box e abra o Console do Desenvolvedor.
Selecione Novo Aplicativo .
Selecione Server como o tipo de aplicativo.
Deixe Concessão de Credenciais do Cliente selecionada em Selecionar Método .
Selecione Criar .
Na Configuração tab, defina o Nível de acesso do aplicativo como Acesso ao aplicativo + empresa . O escopo Gerenciar propriedades corporativas requer Acesso ao aplicativo + empresa. Consulte Escopos.
Em Escopos do Aplicativo , selecione Gerenciar propriedades corporativas . Este é o único escopo que o conector requer. Consulte Obter eventos.
Selecione Salvar no canto superior direito.
Se Detalhes do aplicativo não mostrar Autorização como Autorizado , autorize o aplicativo. Os aplicativos de autenticação de servidor devem ser autorizados antes do uso. Consulte Aprovação do aplicativo de plataforma.
- Se você é um administrador corporativo ou coadministrador e a tab Configuração solicita autorização, autorize o aplicativo nela.
- Se você não for um administrador ou coadministrador, selecione Enviar aplicativo para autorização quando solicitado. Em seguida, dê a um administrador a ID do cliente .
- Como administrador, você também pode autorizar o aplicativo no Admin Console. Selecione Plataforma na navegação à esquerda e, em seguida, Aplicativos da plataforma . Selecione Adicionar no canto superior direito ou selecione ... na linha do aplicativo e, em seguida, insira o ID do cliente .
Em Detalhes do aplicativo , em Acesso :
- Copie o ID do Cliente .
- Selecione Buscar segredo . Se o Box solicitar que você faça login novamente, faça login e copie o Segredo do cliente .
Selecione o ícone da sua account no canto superior direito e, em seguida, selecione Copiar ID da empresa . Veja Localizando IDs.

dica

Ao criar uma conexão por meio da interface do usuário do Lakewatch, insira o ID do cliente , o segredo do cliente e o ID da empresa coletados acima.

Os passos seguintes

Após concluir a configuração acima, crie uma fonte de dados com o conector Box na interface do usuário do Lakewatch. Consulte Conectores de API para obter instruções.

Esquemas de conector e Lakewatch

O conector ingere a seguinte tabela de origem do esquema de origem default:

Tabela de origem	Dados do Box	Analisador Lakewatch integrado
`event_logs`	Eventos de auditoria empresarial, como atividade do usuário e de arquivo	`box_event_logs`

O conector grava cada tabela de origem diretamente no destino configurado para seu analisador integrado. Por default, a tabela de destino é nomeada <parser>_<datasource>, onde <datasource> é o nome da fonte de dados. Por exemplo, com o nome da fonte de dados default box_audit_logs, a tabela é box_event_logs_box_audit_logs. Você pode definir um destino diferente durante a criação da fonte de dados. Não há uma tabela de staging bruta separada ou o passo de análise posterior.

Colunas gerenciadas pelo Lakewatch

O conector usa o campo de origem event_id como key primária não nula e o campo de origem created_at como cursor para ingestão incremental. Diferente dos conectores que sintetizam um ID do Lakewatch, este conector não adiciona uma coluna lw_id. O offset da API _stream_position não está no esquema de destino.

Para fontes de dados do Lakewatch, o conector também adiciona lw_meta e lw_observables. lw_meta contém a identidade da fonte de dados e da conexão, o nome e a versão do analisador e o horário de ingestão. lw_observables contém observáveis de segurança extraídos pelo conector. Consulte Tabelas de saída do conector.

Esquema da tabela de saída do conector

O destino inclui as colunas de origem e de eventos abaixo, juntamente com as colunas lw_meta e lw_observables descritas acima.

O esquema a seguir inclui os campos de evento de auditoria empresarial do Box.

Esquema

Coluna	Tipo de dados
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Coluna	Tipo de dados
`event_id`	`STRING`
`event_type`	`STRING`
`type`	`STRING`
`created_at`	`TIMESTAMP`
`recorded_at`	`TIMESTAMP`
`session_id`	`STRING`
`ip_address`	`STRING`
`created_by`	`VARIANT`
`action_by`	`VARIANT`
`source`	`VARIANT`
`additional_details`	`VARIANT`

Observáveis de segurança

O conector extrai os seguintes campos para lw_observables.

Observáveis

campo	Indicador
`ip_address`	`ip`
`created_by.login`	`email`
`action_by.login`	`email`
`source.login`	`email`
`source.owned_by.login`	`email`
`created_by.id`	`actor_id`
`action_by.id`	`actor_id`

Pré-requisitos​

Limitações conhecidas​

Configurar o Box para ingestão​

Os passos seguintes​

Esquemas de conector e Lakewatch​

Colunas gerenciadas pelo Lakewatch​

Esquema da tabela de saída do conector​

Observáveis de segurança​