Pular para o conteúdo principal
Última atualização em

Introdução ao Lakewatch

info

Visualização

O Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.

O Lakewatch é um recurso do Databricks que traz recursos de Gerenciamento de Eventos e Informações de Segurança (SIEM) diretamente para seu lakehouse. Isso ajuda as equipes de segurança a detectar ameaças, investigar incidentes e responder a eventos de segurança.

O que o Lakewatch faz?​

O Lakewatch oferece às equipes de segurança um local único para:

  • Ingerir dados de segurança de fontes como CrowdStrike, Okta, AWS CloudTrail e outras, usando conectores gerenciados, caminhos de armazenamento em cloud ou tabelas existentes em seu Workspace.
  • Esquematizar dados em tabelas governadas com um conjunto consistente de campos padrão, usando analisadores, para que você possa escrever regras de detecção e consultas que funcionem em diferentes fontes de dados.
  • Detectar ameaças com regras de detecção baseadas em SQL que entram em execução ao programar.
  • Investigue incidentes por meio de alertas que agrupam automaticamente sinais relacionados, rastreiam pontuações de risco de entidades e vinculam aos eventos e entidades envolvidas.
  • query dados de segurança com SQL diretamente na IU do Lakewatch, com suporte para filtragem de intervalo de tempo, refinamentos sem código e inspeção detalhada de linhas.
  • Investigue com AI usando o Genie, um assistente de AI sensível ao contexto que ajuda você a escrever queries, criar regras de detecção e investigar ameaças usando linguagem natural.

Como funciona​

O Lakewatch usa fontes de dados para trazer dados de segurança para o seu workspace. Uma fonte de dados combina um método de ingestão (como os dados brutos são lidos) com um ou mais parsers que esquematizam os dados brutos em tabelas governadas pelo Unity Catalog:

  • Dados brutos : dados não processados lidos de fontes externas pelo método de ingestão da fonte de dados.
  • Tabelas analisadas : tabelas esquematizadas escritas pelos analisadores da fonte de dados. Cada analisador descreve as colunas de saída de uma fonte de log e adiciona as colunas lw_id, lw_meta e lw_observables gerenciadas pelo Lakewatch.

Os dados analisados estão prontos para análise de segurança:

  • Regras de detecção fazem execução de queries SQL em suas tabelas analisadas de acordo com programar. Quando as condições de uma regra correspondem, ela gera um sinal: um registro do que foi detectado, quando aconteceu e quais entidades estavam envolvidas.
  • O Lakewatch correlaciona automaticamente sinais relacionados em alertas para investigação. Os analistas podem atribuir, classificar e rastrear alertas até a resolução, e exportá-los para Jira, ServiceNow ou Tines.
  • A página de query permite a execução de queries SQL em seus dados de segurança para investigação ad hoc, com suporte para filtragem de intervalo de tempo, refinamentos sem código e inspeção detalhada de linhas.

O Lakewatch também monitora seus próprios pipelines e gera eventos de sistema quando detecta problemas de processamento ou erros de configuração. Eles são rastreados em erros de sistema separados.

A página Visão geral​

Ao abrir o Lakewatch, você é direcionado para a página Visão geral , sua página inicial. Ele resume as atividades de ingestão, detecção e alerta em seu workspace e oferece um caminho rápido para o Genie para investigação em linguagem natural. Em um novo workspace, os painéis começam vazios e são preenchidos à medida que você cria fontes de dados e regras de detecção e conforme as detecções geram alertas.

Recursos adicionais​

Nesta página