Segui Amazon Security Lake memorizza i tuoi dati in S3 come file Parquet nello schema OCSF, quindi non li scarichi direttamente. Li interroghi. Usa Amazon Athena con un’istruzione UNLOAD e format = ‘JSON’: Athena scrive i risultati come linee JSON in un prefisso S3 scelto da te, e lo scarichi. Le tabelle di Security Lake si trovano in un database Glue chiamato amazon_security_lake_glue_db_<region>, una tabella per sorgente.
Security Lake centralizza CloudTrail, VPC Flow Logs, Route 53, i risultati di Security Hub, i log audit di EKS e fonti terze in un formato normalizzato unico. Prime Core ha oltre 24.000 regole di rilevamento uniche, mappate a 676 tecniche MITRE ATT&CK. Di seguito è indicato come estrarre i dati, sanificarli e indagarli gratuitamente in LogTotal.
Prima di iniziare
Accesso alle query. Usa l’account amministratore delegato di Security Lake o un abbonato con accesso alle query. L’accesso è governato da Lake Formation, quindi hai bisogno di SELECT sulle tabelle, oltre a permessi Athena e accesso in scrittura a un bucket S3 per l’esportazione.
Trova le tabelle. In Athena, apri il database per la tua regione. I nomi delle tabelle seguono il pattern amazon_security_lake_table_<region>_<source>_<version>, ad esempio amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0. La regione usa trattini bassi.
Le partizioni riducono i costi. Le tabelle sono partizionate per regione, accountid e eventday (YYYYMMDD). Athena fattura in base ai dati scansionati, quindi filtra sempre su eventday.
Esporta con Athena UNLOAD
Nella console di Athena, o con aws athena start-query-execution:
UNLOAD (
SELECT *
FROM amazon_security_lake_glue_db_eu_west_1.amazon_security_lake_table_eu_west_1_cloud_trail_mgmt_2_0
WHERE eventday = '20261019'
AND accountid = '123456789012'
)
TO 's3://my-athena-exports/security-lake/ct-20261019/'
WITH (format = 'JSON', compression = 'NONE')
Il prefisso di destinazione deve essere vuoto. Quando la query ha successo, scarica e combina i file:
aws s3 cp s3://my-athena-exports/security-lake/ct-20261019/ ./ct-20261019/ --recursive
cat ./ct-20261019/* > securitylake_ct_20261019.jsonl
Ogni linea è un evento OCSF. Per restringere ulteriormente, filtra su campi OCSF come api.operation, actor.user.uid o src_endpoint.ip.
Carica, sanifica e rivedi in LogTotal
- Carica. Apri logtotal.com e trascina il file .jsonl.
- Sanifica.
- Rivedi.
Quando qualcosa va storto
| Sintomo | Probabile causa | Fix |
|---|---|---|
| Permessi di Lake Formation insufficienti | Nessuna concessione SELECT sulla tabella | Chiedi all’amministratore di Security Lake una concessione Lake Formation |
| Tabella non trovata | Regione sbagliata nel database o nel nome della tabella | Usa trattini bassi: eu_west_1 |
| HIVE_PATH_ALREADY_EXISTS o simile | Il prefisso di destinazione non è vuoto | Usa un nuovo prefisso vuoto |
| Costo di scansione enorme | Nessun filtro eventday | Filtra sempre sulle partizioni |
| I file sono compressi con gzip | Compressione lasciata al valore predefinito | Imposta compression = ‘NONE’, o usa zcat |
FAQ
Posso leggere i file Parquet direttamente?
Puoi, con strumenti che leggono Parquet, ma Athena gestisce lo schema e le partizioni per te. Per LogTotal, le linee JSON da UNLOAD sono il percorso più semplice.
L’OCSF è uguale al CloudTrail grezzo?
No. Security Lake normalizza gli eventi in OCSF, quindi i nomi dei campi differiscono dalla fonte originale.
