Percorra o Lakewatch de ponta a ponta

info

Beta

O Lakewatch está em Beta. Os administradores do Workspace podem controlar o acesso a esse recurso na página Pré-visualizações . Consulte Gerenciar prévias no nível do workspace.

Este guia percorre o fluxo de trabalho principal do Lakewatch de ponta a ponta, desde a ingestão de dados até a execução de regras de detecção, investigação de alertas e monitoramento da integridade do sistema.

Antes de começar

nota

Antes de começar

O Lakewatch é configurado uma vez para cada workspace. Na primeira vez que alguém abre o Lakewatch, um fluxo de configuração guiada cria seu ambiente, que requer CREATE CATALOG no metastore, ou MANAGE e CREATE SCHEMA em um catálogo existente. Consulte Configurar o Lakewatch para seu workspace.

Você também precisa:

• Acesso às pastas em que você trabalha. Se o Lakewatch foi configurado com a configuração Recomendada, todos os usuários da account já têm acesso. Caso contrário, peça a um administrador para atribuir a você grupos de permissão nessas pastas.
• Um SQL warehouse selecionado no seletor de warehouse na barra de navegação superior. Consulte SQL warehouse.

Ingerir e esquematizar dados

O Lakewatch ingere dados usando fontes de dados, que combinam um método de ingestão (como os dados brutos são lidos) com um ou mais parsers (que esquematizam os dados brutos em tabelas governadas). Você pode criar e gerenciar fontes de dados na UI.

Ingerir dados brutos usando um dos três métodos:

• Armazenamento em cloud : indique arquivos em um armazenamento de objetos compatível (por exemplo, um bucket do S3 ou um caminho /Volumes/).
• Tabela existente : ingira uma tabela ou view do Unity Catalog que já existe no seu workspace sem copiar os dados.
• Conectores de API : Use um conector de API para extrair dados diretamente de aplicativos de software como serviço (SaaS), como o CrowdStrike, o Okta e outros.

Esquematize os dados brutos com analisadores. Cada analisador descreve as colunas de saída de uma fonte de log e escreve uma tabela analisada com as colunas lw_id, lw_meta e lw_observables gerenciadas pelo Lakewatch. Os eventos de entrada são classificados no primeiro analisador correspondente; eventos não correspondentes são encaminhados para um sentinela de dead-letter. As tabelas analisadas estão prontas para análise de segurança com regras de detecção e queries.

Para saber mais, consulte Criar e gerenciar fontes de dados.

Criar e fazer execução de regras de detecção

Vá para Regras de detecção para criar regras de detecção. Você pode categorizar regras usando o framework MITRE ATT&CK ou um framework personalizado, programar o processamento e definir a saída de sinal.

As regras de detecção do Lakewatch são criadas em SQL ou na sintaxe de pipe SQL.

Para saber mais, consulte Regras de detecção.

Investigar alertas

As regras de detecção geram sinais quando os eventos correspondem aos seus critérios. O Lakewatch correlaciona automaticamente sinais relacionados em alertas. Vá para Alertas para view, atribuir e gerenciar alertas. Abra um alerta para analisar seus sinais e as regras de detecção que os acionaram.

Você também pode exportar alertas para o ServiceNow, Tines, um webhook ou Jira, ou fazer a triagem de um alerta com o Genie.

Para obter mais informações, consulte Alertas.

query dados

Vá para Query para execução SQL queries sobre seus dados de segurança. A página de query oferece suporte a filtragem de intervalo de tempo, refinamentos sem código, visualização de linha do tempo e inspeção detalhada de linhas.

Para saber mais, consulte query dados.

Investigar com o Genie

O Genie pode ajudar você a investigar eventos de segurança usando linguagem natural.

• Genie Code : O assistente AI disponível em toda a UI do Lakewatch. Use-o para escrever query SQL, criar regras de detecção, explorar fontes de dados e muito mais. Clique em Genie no menu esquerdo ou em Genie Code na barra superior para abri-lo ao lado de qualquer página. Para saber mais, consulte os prompts de exemplo do Genie Code.

• Genie Agents : Um ambiente dedicado para um trabalho investigativo profundo com o Genie Research Agent. Conecte suas tabelas analisadas e as view signals e system_events no esquema __lakewatch do seu catálogo a um Genie Agent e use o raciocínio em múltiplas etapas, a geração de SQL e o mapeamento MITRE ATT&CK para investigar ameaças. Para saber mais, consulte Configurar um Genie Agent para inteligência de ameaças.

Monitorar a integridade do sistema

Quando uma regra de detecção ou fonte de dados falha, ou o Lakewatch encontra um problema de configuração em um deles, o Lakewatch abre um erro do sistema e agrupa falhas repetidas nele. Vá para Erros do sistema para view, atribuir e gerenciar erros do sistema e abra a tab Erros de um erro do sistema para ver cada falha.

Para saber mais, consulte Erros de sistema.

A página de visão geral

A página de visão geral é sua página inicial do Lakewatch, resumindo atividades de ingestão, detecção e alerta com um caminho rápido para o Genie.