Passeggiate attraverso Lakewatch da un capo all'altro

Important

Lakewatch è in anteprima privata. Per richiedere l'accesso, contatta il team del tuo account Azure Databricks.

Questa guida percorre il flusso di lavoro principale di Lakewatch end-to-end, dall'acquisizione dei dati all'esecuzione delle regole di rilevamento, all'analisi degli avvisi e al monitoraggio dello stato del sistema.

Acquisizione e strutturazione dei dati

Lakewatch assorbe i dati utilizzando origini dati, che combinano un metodo di ingestione (come vengono letti i dati grezzi) con uno o più parser (che schematizzano i dati grezzi in tabelle governate). Puoi creare e gestire origini dati nell'interfaccia utente.

Acquisire dati grezzi utilizzando uno dei tre metodi:

• Archiviazione cloud: Punta a file in un archivio di oggetti supportato (ad esempio, un bucket S3 o un percorso /Volumes/).
• Tabella esistente: Ingerire una tabella o una vista del Catalogo Unity che esista già nel tuo workspace, senza copiare i dati.
• Connettori API: Usa un connettore gestito per estrarre dati direttamente da applicazioni SaaS come CrowdStrike, Okta e altre.

Schematizza i dati grezzi con parser. Ogni parser descrive le colonne di output di una sorgente di log e scrive una tabella elaborata dal parser con le colonne lw_id, lw_meta e lw_observables gestite da Lakewatch. Gli eventi in arrivo sono classificati al primo parser corrispondente; gli eventi non abbinati vengono instradati a un sentinel dead-letter. Le tabelle sottoposte a parsing sono pronte per l'analisi di sicurezza con regole di rilevamento e query.

Per saperne di più, consulta Crea e gestisci origini dati.

Crea ed esegui regole di rilevamento

Vai su Regole di rilevamento per creare regole di rilevamento. Puoi categorizzare le regole usando il framework MITRE ATT&CK o un framework personalizzato, impostare un programma di elaborazione e definire l'uscita del segnale.

Le regole di rilevamento Lakewatch vengono definite in sintassi SQL o SQL pipe.

Per saperne di più, consulta Regole di rilevamento.

Indagare sugli avvisi

Le regole di rilevamento generano segnali quando gli eventi corrispondono ai loro criteri. Lakewatch correla automaticamente i segnali correlati tra loro in allerte. Vai su Avvisi per visualizzare, assegnare e gestire gli avvisi. Apri un allarme per rivedere i segnali e le regole di rilevamento che li hanno attivati.

Puoi anche esportare gli avvisi su ServiceNow, Tines, un webhook o Jira, oppure gestire un avviso con Genie.

Per altre informazioni, vedere Avvisi.

Dati di query

Vai su Query per eseguire query SQL sui tuoi dati di sicurezza. La pagina di query supporta filtraggio per intervallo temporale, raffinamenti senza codice, visualizzazione della timeline e ispezione dettagliata delle righe.

Per saperne di più, consulta Eseguire query sui dati.

Indaga con Genie

Genie può aiutarti a indagare sugli eventi di sicurezza usando un linguaggio naturale.

• Genie Code è l'assistente AI disponibile nell'interfaccia di Lakewatch. Usalo per scrivere query SQL, costruire regole di rilevamento, esplorare fonti dati e altro ancora. Clicca su Genie nel menu sinistro, oppure clicca sull'icona Genie nell'angolo in alto a destra per aprirla accanto a qualsiasi pagina. Per saperne di più, consulta i prompt di esempio di Genie Code.

• Gli Agenti Genie offrono un ambiente dedicato a un lavoro investigativo approfondito con Genie Research Agent. Collega le tue tabelle analizzate e le tabelle di sistema a un Genie Agent, poi usa il ragionamento a più passi, la generazione SQL e la mappatura MITRE ATT&CK per indagare sulle minacce. Per saperne di più, consulta Configura un Genie Agent per informazioni sulle minacce.

Monitoraggio dell'integrità del sistema

Quando Lakewatch rileva problemi di integrità o configurazione del sistema, genera eventi di sistema e li raggruppa in errori di sistema. Vai su Errori di Sistema per visualizzare, assegnare e gestire gli errori di sistema e i relativi eventi.

Per saperne di più, vedi Errori di sistema.

Pagina Panoramica

La pagina Overview è la tua homepage di Lakewatch, che riassume l'attività di ingestione, rilevamento e allerta con un percorso rapido verso Genie.