Signaux
Aperçu
Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.
Un signal est un enregistrement d’événement généré lorsqu’un ou plusieurs événements correspondent aux critères d’une règle de détection, par exemple plusieurs tentatives de connexion infructueuses d’un utilisateur spécifique. Chaque signal comprend un résumé du comportement détecté, la date à laquelle le premier événement s’est produit, ainsi que le nombre d’événements correspondants. Chaque signal est associé à exactement une alerte.
Pour afficher les signaux, allez dans Alertes et ouvrez une alerte pour voir les signaux associés. Pour query directement les signaux, utilisez la table système signals.
Déduplication de signal
Lakewatch empêche automatiquement les signaux en double d’encombrer votre workspace. Deux signaux sont des doublons lorsqu’une règle produit une ligne de résultat dont les valeurs sont identiques pour tous les champs de sortie de détection (pas seulement le résumé) par rapport à un signal que la même règle a déjà créé dans la fenêtre temporelle de déduplication. La déduplication est limitée à une seule règle ; ainsi, différentes règles ne sont jamais dédupliquées entre elles.
Lorsque Lakewatch détecte un doublon, il ignore complètement ce signal : aucun nouveau signal n’est inséré et aucune alerte n’est ouverte ou mise à jour.
La déduplication est distincte du regroupement de signaux, qui se produit plus tard. Un résumé correspondant ne conduit à la déduplication que lorsque le reste de la ligne de sortie correspond également. Un résumé correspondant seul conduit au regroupement.
- La déduplication s'exécute quand les signaux sont créés et supprime un signal seulement quand il correspond à un signal existant dans chaque champ de sortie de détection. Deux signaux qui partagent un résumé mais qui diffèrent dans d'autres champs sont tous deux créés.
- Le regroupement de signaux organise ensuite les signaux survivants en alertes en utilisant le résumé (plus l'ID de règle et la version), et rien d'autre. Les signaux qui partagent le résumé du signal d'ouverture sont attachés à la même alerte, même lorsque leurs autres champs diffèrent.
Comme une règle de détection ne conserve aucun point de contrôle des lignes qu'elle a déjà traitées, une exécution retardée, un remplissage ou une réexécution peuvent scanner une fenêtre temporelle qui chevauche la précédente et retourner les mêmes lignes plusieurs fois. La déduplication garantit que ces chevauchements ne génèrent pas de signaux en double.
Activer ou désactiver la déduplication
La déduplication est activée par default pour chaque règle. Vous pouvez le contrôler à deux niveaux :
- Workspace : définit la valeur default pour toutes les règles. Activez/désactivez la déduplication de signal dans les paramètres d’alerte de votre workspace. Activé par default.
- Par règle : Remplace le default du Workspace pour une règle unique, en utilisant le paramètre Déduplication de la règle :
- Default : hérite du paramètre de Workspace.
- Activé : dédupliquez toujours les signaux de cette règle.
- Désactivé : ne déduplique jamais les signaux de cette règle.
Pour savoir où définir les valeurs par règle, consultez la section Créer et gérer des règles de détection.
Fenêtre temporelle de déduplication
La fenêtre temporelle contrôle jusqu’à quelle période Lakewatch recherche un signal identique. Par default, la fenêtre est automatique : 3× l’intervalle de planification de la règle , plafonnée à 7 jours . Par exemple, une règle qui s’exécute toutes les heures utilise une fenêtre de 3 heures, et une règle qui s’exécute quotidiennement utilise une fenêtre de 3 jours.
Pour définir la fenêtre vous-même, spécifiez une durée explicite telle que 1h, 24h ou 7d (7 jours est le maximum). Databricks recommande de laisser la fenêtre sur automatique .
Table système des signaux
Lakewatch fournit une table système de signaux à <LW-CATALOG>.internal.signals dans chaque catalogue Lakewatch. Il y a une table distincte par catalogue et chacune contient uniquement les signaux produits par des règles dans ce catalogue. La table contient des métadonnées sur les signaux et les alertes auxquels ils sont associés. Query pour analyser les signaux, les corréler avec des alertes et créer des rapports ou des tableaux de bord personnalisés.
Les signaux sont disponibles dans les tables système, mais ce n’est pas le cas des alertes. Pour afficher et gérer les alertes, utilisez la page Alertes dans l’interface utilisateur.