Un data lake di sicurezza è un livello di archiviazione per grandi volumi di telemetria di sicurezza che viene mantenuto separato dagli strumenti usati per interrogare, correlare e rilevare le minacce. Può contenere log, eventi degli endpoint, record di flusso di rete, tracce di audit cloud e altri dati ad alto volume in forma grezza o leggermente preparata. L'idea principale è archiviare prima e analizzare dopo, invece di forzare ogni evento attraverso una pipeline SIEM con prezzi strettamente vincolati.
Questo è importante perché gli attacchi moderni spesso lasciano molte piccole tracce su sistemi diversi. Un data lake aiuta i difensori a conservare tali tracce per indagini più lunghe, threat hunting e rilevamento retrospettivo dopo l'emergere di nuovi indicatori. Nella difesa, il lake deve preservare struttura, controllo degli accessi e ricercabilità; altrimenti diventa un archivio economico anziché una fonte di rilevamento. Pipeline efficaci, normalizzazione e metadati sono ciò che trasforma la telemetria archiviata in prove di sicurezza utilizzabili.