Lago de seguridad y esquema común

Amazon Security Lake guarda datos de seguridad en un bucket de S3 de tu cuenta, los convierte al formato columnar Apache Parquet y los normaliza al esquema abierto OCSF (Open Cybersecurity Schema Framework). Entre sus fuentes nativas están los eventos de gestión y de datos de CloudTrail, los registros de flujo de VPC y los registros de consultas DNS de Route 53.

La ventaja práctica es que un campo como la dirección de origen (src_endpoint.ip) se llama igual venga de donde venga, y los eventos se agrupan por clase (actividad de API, actividad de red, actividad de DNS). Una consulta sirve para todas las fuentes en vez de una por formato.

Un lago solo trae las fuentes que alguien activó. Revisa cuáles están activas y cuál no, porque una fuente ausente es una pregunta que el lago no podrá contestar: aquí, por ejemplo, qué nombres de dominio consultaron las máquinas.

Los eventos de API dicen quién hizo algo; los de red dicen cuánto tráfico generó una dirección. Cada uno por separado es incompleto: uno nombra al actor y el otro no tiene nombre, solo una dirección. Con un esquema común, las dos clases se encuentran por la dirección de origen.

Filtra los eventos de la dirección 203.0.113.188 y mira la columna del actor en los de API.

Esa misma dirección aparece en eventos de red con una cantidad de bytes. Suma los bytes de todos los eventos de actividad de red de esa dirección para saber el volumen total del intervalo. Ojo: en la tabla de eventos de red hay otra dirección que no es la que buscas.

El lago guarda los datos en tu cuenta y tú decides quién los lee. Un subscriptor, otro servicio o una herramienta externa, accede solo a las fuentes y regiones que le concedes, ya sea consultando las tablas (con Athena, por ejemplo) o recibiendo avisos cuando llegan datos nuevos. El acceso al lago es, también, un permiso que hay que diseñar y revisar.