Arquitetura de referência para operações de segurança
Crie operações de segurança mais rápidas e inteligentes com o Databricks para detectar ameaças, analisar anomalias e enriquecer alertas. Esta arquitetura conecta dados de SIEM, identidade, endpoint e inteligência de ameaças em um fluxo integrado.
Reforce as operações de segurança central
Esta arquitetura de referência descreve como as equipes de operações de segurança podem construir e escalar as principais capacidades de operações de segurança na Plataforma de Inteligência de Dados Databricks. Centraliza a telemetria, permite enriquecimento e transformação estruturados e impulsiona fluxos de trabalho avançados em engenharia de detecção, resposta a ameaças, conformidade e relatórios.
Visão geral da arquitetura
As equipes de operações de segurança dependem de fluxos de trabalho flexíveis e orientados por dados para gerenciar a detecção de ameaças, resposta e conformidade em grande escala. Arquiteturas legadas geralmente separam detecção, investigação e relatórios em sistemas desconectados. O "security lakehouse" para operações de segurança unifica essas capacidades, combinando armazenamento governado, análises abertas e automação escalável em uma única plataforma.
Esta arquitetura ilustra como a telemetria de fontes de endpoint, identidade, rede e nuvem flui para o lakehouse usando pipelines de lote e streaming. As equipes de segurança podem validar e normalizar esses dados usando modelos de esquema aberto como OCSF, ECS ou CIM. Os eventos são enriquecidos com contexto de usuário, ativo e ameaça para melhorar a qualidade da detecção e os resultados das investigações.
Uma vez processados, esses dados alimentam uma ampla gama de casos de uso de operações de segurança, incluindo alertas, caça a ameaças, engenharia de detecção, relatórios de métricas e detecção de anomalias. Saídas selecionadas podem ser integradas com SIEMs, SOARs, sistemas de gerenciamento de casos e ferramentas de relatórios para suportar fluxos de trabalho de incidentes e colaboração entre equipes.
Coletar e rotear
Telemetria e inteligência de ameaças são coletadas usando agentes, corretores, agregadores e APIs. Esta etapa suporta formatos estruturados e não estruturados e permite a ingestão em tempo real e em lote. As fontes de dados incluem logs de endpoints, eventos de identidade, telemetria em nuvem, dados de vulnerabilidade e feeds de ameaças comerciais.
Transformar e enriquecer
Os dados brutos são validados para qualidade e alinhamento de esquema, depois normalizados e enriquecidos para uso operacional. O enriquecimento pode incluir contexto de usuário, dispositivo, aplicativo, inteligência de ameaças e ativos. Modelos de esquema como OCSF e ECS ajudam a padronizar campos para análise e automação.
Relatórios e observabilidade
Analistas de segurança e partes interessadas usam dados estruturados para construir painéis, visualizar tendências e rastrear métricas-chave. Essas saídas ajudam as equipes a monitorar a cobertura, identificar lacunas e atender aos requisitos de conformidade e auditoria.
Detecção e resposta
Engenheiros de detecção criam e gerenciam regras para identificar ameaças e comportamentos suspeitos. Alertas alimentam fluxos de trabalho de resposta a incidentes, manuais de DFIR e investigações de caça a ameaças. As equipes podem orquestrar playbooks ou enviar alertas para sistemas de gerenciamento de casos.
Data Science e ML
As equipes de segurança podem aplicar modelos de aprendizado de máquina para análises avançadas e detecção. Os casos de uso incluem modelagem de ameaças, criação de linha de base comportamental, detecção de anomalias e análise de comportamento de entidade de usuário. Esses modelos melhoram a priorização e reduzem os falsos positivos.
Integre com sistemas externos
Alertas selecionados, painéis e contexto são entregues a plataformas downstream como SIEM, SOAR, sistemas de relatórios e de tickets. Isso permite que o Databricks atue como a espinha dorsal analítica, preservando fluxos de trabalho de analistas familiares em ferramentas como Splunk, Sentinel, Jira e ServiceNow.
