平均检测时间是一个数据访问问题

安全运营指标近年来越发精细，但数据显示分析师将不成比例的时间花在数据组装而非分析上。调查一个可疑警报需要从多个来源拉取日志、交叉引用用户身份、检查资产信息等，每个数据拉取都涉及不同系统和语法。这导致平均检测时间（MTTD）过长。Databricks 的 Lakewatch 和 Genie 通过将安全、IT 和业务数据统一到一个数据湖，并允许分析师以自然语言提问，让自动代理在数秒内搜索、总结和关联 PB 级数据。Genie 基于 Anthropic Claude 的推理能力，可编排自主防御代理，实现从人工主导到机器速度防御的转变。根据 RSA 主题演讲，零日漏洞利用窗口已从2018年的两年缩短至1.3天，传统 SIEM 无法应对。Lakewatch 部署防御代理群，自动化检测、分类和调查，将 MTTD 从数月降至分钟级。主要指标包括 MTTD、MTTR、MTTC 和 MTTI，其中 MTTI 突出分析师在碎片系统间手动查数据的瓶颈。Genie 的关键差异化在于统一安全数据湖、时间线重建、实体上下文和基于角色的访问控制。