Seguir Amazon Security Lake almacena sus datos en S3 como archivos Parquet en el esquema OCSF, por lo que no los descarga directamente. Los consulta. Use Amazon Athena con una declaración UNLOAD y formato = ‘JSON’: Athena escribe los resultados como líneas JSON en un prefijo S3 que usted elige, y descarga eso. Las tablas de Security Lake viven en una base de datos de Glue llamada amazon_security_lake_glue_db_<región>, una tabla por fuente.
Security Lake centraliza CloudTrail, VPC Flow Logs, Route 53, hallazgos de Security Hub, registros de auditoría de EKS y fuentes de terceros en un formato normalizado. Prime Core tiene más de 24,000 reglas de detección únicas, asignadas a 676 técnicas de MITRE ATT&CK. A continuación se muestra cómo extraer datos, sanitizarlos e investigarlos de forma gratuita en LogTotal.
Antes de empezar
Consulta de acceso. Use la cuenta de administrador delegada de Security Lake, o un suscriptor con acceso a consultas. El acceso está regido por Lake Formation, por lo que necesita SELECT en las tablas, además de permisos de Athena y acceso de escritura a un bucket de S3 para la exportación.
Encuentre las tablas. En Athena, abra la base de datos para su región. Los nombres de las tablas siguen el patrón amazon_security_lake_table_<región>_<fuente>_<versión>, por ejemplo amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0. La región usa guiones bajos.
Las particiones mantienen los costos bajos. Las tablas están particionadas por región, accountid y eventday (YYYYMMDD). Athena cobra por los datos escaneados, así que siempre filtre por eventday.
Exportar con Athena UNLOAD
En la consola de Athena, o con aws athena start-query-execution:
UNLOAD (
SELECT *
FROM amazon_security_lake_glue_db_eu_west_1.amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0
WHERE eventday = '20261019'
AND accountid = '123456789012'
)
TO 's3://my-athena-exports/security-lake/ct-20261019/'
WITH (format = 'JSON', compression = 'NONE')
El prefijo de destino debe estar vacío. Cuando la consulta tenga éxito, descargue y combine los archivos:
aws s3 cp s3://my-athena-exports/security-lake/ct-20261019/ ./ct-20261019/ --recursive
cat ./ct-20261019/* > securitylake_ct_20261019.jsonl
Cada línea es un evento OCSF. Para reducirlo aún más, filtre en campos OCSF como api.operation, actor.user.uid o src_endpoint.ip.
Cargar, sanitizar y revisar en LogTotal
- Cargar. Abrir logtotal.com y suelte el archivo .jsonl.
- Sanitizar.
- Revisar.
Cuando las cosas van mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Permisos insuficientes de Lake Formation | Sin concesión SELECT en la tabla | Pida al administrador de Security Lake una concesión de Lake Formation |
| Tabla no encontrada | Región incorrecta en el nombre de la base de datos o tabla | Use guiones bajos: eu_west_1 |
| HIVE_PATH_ALREADY_EXISTS o similar | El prefijo de destino no está vacío | Use un prefijo nuevo y vacío |
| Costo de escaneo enorme | No se filtra por eventday | Siempre filtrar por particiones |
| Los archivos están comprimidos con gzip | Compresión dejada en el valor predeterminado | Establezca compression = ‘NONE’, o use zcat |
FAQ
¿Puedo leer los archivos Parquet directamente?
Puede, con herramientas que lean Parquet, pero Athena maneja el esquema y las particiones por usted. Para LogTotal, las líneas JSON desde UNLOAD son la ruta más simple.
¿Es OCSF igual que CloudTrail sin procesar?
No. Security Lake normaliza los eventos en OCSF, por lo que los nombres de los campos difieren de la fuente original.
