Amazon Security Lake Nuevo2022年〜
Servicio de data lake que centraliza datos de seguridad en formato OCSF
Qué hace
Amazon Security Lake es un servicio que centraliza datos de seguridad de servicios de AWS, herramientas de seguridad de terceros y fuentes locales en un data lake basado en S3 utilizando el formato OCSF (Open Cybersecurity Schema Framework). Recopila y normaliza automáticamente registros de CloudTrail, VPC Flow Logs, registros DNS de Route 53, hallazgos de Security Hub y más.
Casos de uso
Se utiliza para la gestión centralizada y retención a largo plazo de datos de seguridad, integración con herramientas SIEM, investigación y análisis de incidentes de seguridad, y retención de registros para auditorías de cumplimiento.
Analogía cotidiana
Se puede comparar con una biblioteca de información de seguridad. Los informes de seguridad de cada departamento (servicios de AWS, herramientas de seguridad) se organizan y almacenan en un formato estandarizado (OCSF), permitiendo que los investigadores (herramientas de análisis) los busquen y analicen en cualquier momento.
¿Qué es Security Lake?
Amazon Security Lake es un servicio especializado en la agregación y normalización de datos de seguridad. Anteriormente, los registros de CloudTrail usaban el formato de CloudTrail, los VPC Flow Logs usaban el formato de VPC; cada fuente de datos tenía su propio esquema. Security Lake normaliza los datos al esquema estándar OCSF, permitiendo el análisis cruzado entre fuentes.
Fuentes de datos y suscriptores
Security Lake recopila automáticamente fuentes de registros nativas de AWS (CloudTrail, VPC Flow Logs, registros DNS de Route 53, eventos de datos de S3, registros de ejecución de Lambda, registros de auditoría de EKS). Los datos de herramientas de seguridad de terceros también pueden incorporarse como fuentes personalizadas. La función de suscriptores proporciona datos a herramientas SIEM como Splunk, Datadog y Sumo Logic. Para patrones de diseño y prácticas operativas sobre fuentes de datos y suscriptores, libros especializados (Amazon) ofrecen explicaciones detalladas.
Cómo empezar
Habilite Security Lake en la consola y seleccione las fuentes de registros y regiones a recopilar. La integración con Organizations permite agregar datos de seguridad de toda la organización. Analice los datos ejecutando consultas con Athena o conectando herramientas SIEM como suscriptores.
Aspectos a tener en cuenta
- Se aplican costos de almacenamiento en S3 y cargos por procesamiento de normalización de datos. Los costos aumentan con grandes volúmenes de registros
- Security Hub agrega hallazgos de seguridad, mientras que Security Lake agrega datos de registros sin procesar; sirven para propósitos diferentes
