아마존 보안 레이크 로그 내보내는 방법

Amazon Security Lake은 데이터를 OCSF 스키마로 S3에 Parquet 파일로 저장하므로 직접 다운로드하지 않습니다. 쿼리를 실행합니다. Amazon Athena를 사용하여 UNLOAD 명령문과 format = ‘JSON’을 사용하세요: Athena는 결과를 선택한 S3 프리픽스로 JSON 라인으로 기록하며, 이를 다운로드합니다. Security Lake 테이블은 amazon_security_lake_glue_db_<region>라는 Glue 데이터베이스에 있으며, 소스당 하나의 테이블을 가집니다.

Security Lake는 CloudTrail, VPC Flow Logs, Route 53, Security Hub 발견사항, EKS 감사 로그 및 타사 소스를 하나의 표준 형식으로 중앙 집중화합니다. Prime Core는 676 MITRE ATT&CK 기법에 매핑된 24,000개 이상의 고유 탐지 규칙을 가지고 있습니다. 아래는 데이터 추출, 정리 및 LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

쿼리 액세스. Security Lake 위임 관리자 계정 또는 쿼리 액세스가 있는 구독자를 사용합니다. 액세스는 Lake Formation에 의해 관리되므로, 테이블에 대한 SELECT 권한과 Athena 권한 및 내보낼 S3 버킷에 대한 쓰기 액세스가 필요합니다.

테이블 찾기. Athena에서 해당 지역의 데이터베이스를 엽니다. 테이블 이름은 amazon_security_lake_table_<region>_<source>_<version> 형식을 따릅니다. 예를 들어, amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0입니다. 지역은 밑줄을 사용합니다.

파티션으로 비용 절감. 테이블은 지역, accountid 및 eventday (YYYYMMDD)로 파티션화되어 있습니다. Athena는 스캔한 데이터로 청구하므로 항상 eventday로 필터링합니다.

Athena UNLOAD로 내보내기

Athena 콘솔에서 또는 aws athena start-query-execution을 사용하여:

UNLOAD (
  SELECT *
  FROM amazon_security_lake_glue_db_eu_west_1.amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0
  WHERE eventday = '20261019'
    AND accountid = '123456789012'
)
TO 's3://my-athena-exports/security-lake/ct-20261019/'
WITH (format = 'JSON', compression = 'NONE')

대상 프리픽스는 비어 있어야 합니다. 쿼리가 성공하면 파일을 다운로드하고 결합하세요:

aws s3 cp s3://my-athena-exports/security-lake/ct-20261019/ ./ct-20261019/ --recursive
cat ./ct-20261019/* > securitylake_ct_20261019.jsonl

각 줄은 하나의 OCSF 이벤트입니다. 더 좁히려면 api.operation, actor.user.uid 또는 src_endpoint.ip와 같은 OCSF 필드에서 필터링하세요. 

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 에 .jsonl 파일을 드롭하세요. 
2. 정리. 
3. 검토. 

문제가 발생할 때