Przejdź się przez Lakewatch od początku do końca

Ten przewodnik przeprowadza przez podstawowy workflow Lakewatch od początku do końca, od pobierania danych, przez uruchamianie reguł wykrywania, badanie alertów, aż po monitorowanie stanu systemu.

Pozyskiwanie i tworzenie schematu danych

Lakewatch pobiera dane za pomocą źródeł, które łączą metodę pobierania (sposób odczytu surowych danych) z jednym lub kilkoma parserami (które schematyzują surowe dane do tabel nadzorowanych). Możesz tworzyć i zarządzać źródłami danych w interfejsie użytkownika.

Pobieranie surowych danych za pomocą jednej z trzech metod:

• Przechowywanie w chmurze: Wskazywanie plików w obsługiwanym magazynie obiektowym (na przykład bucket S3 lub ścieżka /Volumes/ ).
• Istniejąca tabela: Zaimportuj tabelę lub widok Unity Catalog, który już istnieje w twojej przestrzeni roboczej, bez kopiowania danych.
• Złącza API: Używaj zarządzanego złącza do pobierania danych bezpośrednio z aplikacji SaaS, takich jak CrowdStrike, Okta i inne.

Przekształć surowe dane do schematu za pomocą parserów. Każdy parser opisuje kolumny wyjściowe źródła logów i zapisuje sparsowaną tabelę z kolumnami lw_id, lw_meta i lw_observables zarządzanymi przez Lakewatch. Nadchodzące zdarzenia są klasyfikowane do pierwszego pasującego parsera; zdarzenia niedopasowane są kierowane do strażnika dead-letter. Przetworzone tabele są gotowe do analizy bezpieczeństwa wraz z regułami detekcji i zapytaniami.

Aby dowiedzieć się więcej, zobacz Tworzenie i zarządzanie źródłami danych.

Twórz i uruchamiaj reguły wykrywania

Przejdź do Reguł wykrywania , aby utworzyć reguły wykrywania. Możesz kategoryzować reguły za pomocą frameworka MITRE ATT&CK lub niestandardowego frameworka, ustawić harmonogram przetwarzania i zdefiniować sygnał wyjściowy.

Reguły wykrywania Lakewatch są definiowane w składni SQL lub SQL pipe.

Aby dowiedzieć się więcej, zobacz zasady wykrywania.

Analizuj alerty

Reguły wykrywania generują sygnały, gdy zdarzenia spełniają ich kryteria. Lakewatch automatycznie koreluje powiązane sygnały w alerty. Przejdź do Alerts, aby je przeglądać, przypisywać i zarządzać alertami. Otwórz alert, aby przejrzeć jego sygnały i zasady wykrywania, które je wywołały.

Możesz także eksportować alerty do ServiceNow, Tines, webhooka lub Jira, albo przeprowadzić triage alertu za pomocą Genie.

Aby dowiedzieć się więcej, zobacz Alerty.

Wyszukaj dane

Przejdź do Zapytania , aby uruchomić zapytania SQL dotyczące danych bezpieczeństwa. Strona zapytań obsługuje filtrowanie zakresu czasowego, udoskonalenia bez kodu, wizualizację osi czasu oraz szczegółową inspekcję wierszy.

Aby dowiedzieć się więcej, zobacz Wykonywanie zapytań dotyczących danych.

Zbadaj za pomocą Genie

Genie może pomóc Ci badać zdarzenia bezpieczeństwa za pomocą języka naturalnego.

• Genie Code to asystent AI dostępny w całym interfejsie Lakewatch. Używaj go do pisania zapytań SQL, tworzenia reguł wykrywania, eksploracji źródeł danych i nie tylko. Kliknij Genie w lewym menu lub ikonę Genie w prawym górnym rogu, aby otworzyć ją obok dowolnej strony. Aby dowiedzieć się więcej, zobacz przykładowe prompty Genie Code.

• Genie Agents zapewniają dedykowane środowisko do dogłębnej pracy badawczej z Genie Research Agent. Połącz swoje tabele parsowane i tabele systemowe z agentem Genie, a następnie użyj rozumowania wieloetapowego, generowania SQL i mapowania MITRE ATT&CK do badania zagrożeń. Aby dowiedzieć się więcej, zobacz Konfigurowanie agenta Genie dla analizy zagrożeń.

Monitorowanie kondycji systemu

Gdy Lakewatch wykryje problemy ze stanem systemu lub konfiguracją, generuje zdarzenia systemowe i grupuje je w błędy systemowe. Przejdź do błędów systemowych , aby zobaczyć, przypisać i zarządzać błędami systemowymi oraz powiązanymi zdarzeniami.

Aby dowiedzieć się więcej, zobacz błędy systemowe.

Strona Przegląd

strona Przeglądu to strona główna Lakewatch, podsumowująca pozyskiwanie danych, wykrywanie i aktywność alertów z szybką ścieżką do Genie.