Configurazione e interrogazione di un'origine dati Security Lake nei pannelli di controllo OpenSearch

Ora che hai creato la tua fonte di dati, puoi configurarla nelle OpenSearch dashboard.

Questa sezione illustra vari casi d'uso con la tua fonte di dati nelle OpenSearch dashboard prima di interrogare i dati. Per iniziare, devi accedere alla tua fonte di dati in OpenSearch Dashboards. Nel menu a sinistra, in Gestione, scegli Origini dati. Quindi, seleziona il nome dell'origine dati che hai creato in precedenza nella console di OpenSearch servizio.

Interroga le tabelle di Security Lake da Discover

Se hai creato tabelle in base ai log di Security Lake, ora puoi interrogare tali tabelle direttamente da OpenSearch Discover. Ciò consente di accedere e analizzare senza problemi i dati archiviati in Security Lake, direttamente dalla familiare interfaccia Discover. Interrogando Security Lake direttamente da Discover, puoi evitare la necessità di estrarre, trasformare e caricare manualmente i dati in un indice di ricerca separato. Per iniziare rapidamente ad analizzare i log, Discover include una serie di query salvate in PPL e SQL.

Inizia selezionando l'origine dati che hai configurato. Seleziona il database e la tabella associati su cui desideri interrogare, quindi usa la barra di ricerca per scrivere query sulle tue tabelle. Per capire quali istruzioni, comandi e limitazioni sono supportati per l'integrazione di Security Lake, consultaComandi SQL e PPL supportati.

Per sfruttare le query predefinite disponibili per Security Lake, vai a... in alto a destra di Discover, scegli Apri query, quindi scegli Modelli. Sono disponibili molte query predefinite per le fonti di registro supportate in Security Lake. Cerca i modelli che corrispondono al tuo caso d'uso, copia la query da utilizzare nella barra di ricerca e sostituisci i campi basati su modelli (come Regione e azione) con le tue informazioni.

Accelera i dati da Discover

Per migliorare le prestazioni e consentire query e analisi successive più rapide OpenSearch, puoi inserire i risultati della query da Discover in una vista OpenSearch indicizzata.

Per creare una vista indicizzata

1. Da Discover, scegli Crea vista indicizzata.

2. Nell'editor di query, inserisci la query desiderata. Puoi creare una nuova query qui o utilizzarne una esistente dalle tue ricerche precedenti.

3. Specificate un nome per la nuova vista indicizzata. Scegliete un nome descrittivo che vi aiuti a identificare la vista in un secondo momento.

4. Configura le impostazioni di conservazione dei dati per la visualizzazione indicizzata. È possibile specificare per quanto tempo i dati devono essere conservati nell'indice, in modo da bilanciare le prestazioni con i costi di archiviazione.

5. Crea la vista indicizzata. Dopo la creazione, la vista indicizzata sarà disponibile per eseguire interrogazioni e analisi più rapide.

Se hai già creato viste indicizzate, puoi accedervi da Discover.

Per utilizzare una visualizzazione dell'indice esistente

1. Da Discover, scegli Seleziona visualizzazione indicizzata per visualizzare un elenco delle viste indicizzate esistenti per Security Lake.

2. Scegli la vista indicizzata che desideri utilizzare. Ciò applicherà la visualizzazione alla query corrente, velocizzando potenzialmente in modo significativo il recupero e l'analisi dei dati.

Crea una visualizzazione del dashboard per la tua fonte di dati

Quando utilizzi OpenSearch Service, puoi analizzare i tipi di AWS log più diffusi utilizzando modelli di dashboard predefiniti. Per Security Lake sono disponibili modelli per i log VPC e WAF. CloudTrail Questi modelli consentono di creare una dashboard personalizzata in base ai dati specifici. Includono query e dashboard predefiniti personalizzati per quel tipo di registro specifico. Ciò consente di iniziare rapidamente ad analizzare queste fonti di AWS log popolari, senza dover creare tutto da zero.

Nota

Le dashboard utilizzano viste indicizzate, che acquisiscono dati da Security Lake e contribuiscono al calcolo diretto delle query e della raccolta.

Segui questi passaggi per creare una dashboard utilizzando uno di questi modelli predefiniti, in modo da poter iniziare subito a esplorare e analizzare i dati.

Per creare una visualizzazione del pannello di controllo

1. Accedi alla console di Amazon OpenSearch Service all'indirizzohttps://console.aws.amazon.com/aos/.

2. Dal riquadro di navigazione a sinistra, scegli Gestione centrale, quindi Origini dati connesse.

3. Seleziona l'origine dati per aprire la pagina dei dettagli.

4. Seleziona Crea pannello di controllo.

5. Scegli il tipo di dashboard che desideri creare.

6. Inserisci un nome per la dashboard.

7. Inserisci una descrizione opzionale per la dashboard.

8. Seleziona una o più tabelle AWS Glue da visualizzare sulla dashboard.

9. Scegli la frequenza con cui aggiornare i dati nella dashboard.

10. Scegli l' OpenSearch area di lavoro che desideri utilizzare.

    1. Per creare un nuovo spazio di lavoro, seleziona Crea nuovo spazio di lavoro.

    2. Per utilizzare un'area di lavoro esistente, seleziona Seleziona un'area di lavoro esistente.

11. Inserisci un nome per il tuo spazio di lavoro.

12. Seleziona Crea pannello di controllo.

Risoluzione dei problemi

In alcuni casi i risultati non vengono restituiti come previsto. In caso di problemi, assicurati di seguire ilConsigli importanti per iniziare a usare Direct Query.