Webhook
Visualização
O Lakewatch está em visualização privada. Para solicitar acesso, entre em contato com a equipe da sua conta da Databricks.
Exporte alertas do Lakewatch para um webhook. Quando um alerta é criado, o Lakewatch o publica como um payload JSON em um endpoint HTTPS que você configura, onde sua própria automação pode agir sobre ele. Para saber como a exportação se comporta nos destinos, consulte Destinos de alertas.
A exportação para um webhook é unidirecional, do Lakewatch para o seu endpoint.
Payload do webhook
Quando o Lakewatch exporta um alerta para o seu webhook, ele envia um payload JSON em uma solicitação HTTP POST. O Lakewatch envia um evento lakewatch.alert.created quando o alerta é criado. Ele também envia um evento lakewatch.alert.updated quando o estado, título, gravidade, descrição, classificação ou responsável de um alerta já exportado é alterado, mas apenas quando a entrega de atualização está habilitada para o destino. Quando um alerta é fechado, você recebe um evento updated com alert_state definido como RESOLVED ou DUPLICATE. Não há um evento de fechamento separado. Para habilitar a entrega de atualização, selecione Também enviar atualizações de alertas nas configurações. Consulte Definir configurações.
O Lakewatch envia cada evento uma vez e não tenta novamente se a entrega falhar. O alerta ainda aparece no Lakewatch.
As chaves estão em snake_case. Os campos Enum são enviados como seus nomes de strings, por exemplo "SECURITY_ALERT", não números. Campos opcionais não definidos são omitidos do JSON em vez de enviados como null, portanto, um campo numérico ausente está ausente, não 0.
Cabeçalhos
Cada solicitação inclui os seguintes cabeçalhos:
Content-Type:application/jsonUser-Agent:Databricks-Webhooks/1.0X-Webhook-Event-Type: o tipo de eventoX-Delivery-Attempt-Id: o ID da tentativa de entregaX-Webhook-Timestamp: o tempo de entrega em milissegundos de época
Campos de envelope
campo | Descrição |
|---|---|
|
|
| Único para cada entrega. Uma solicitação que chega duas vezes ao seu destino carrega o mesmo valor. Para corresponder a eventos do mesmo alerta, use |
| Milissegundos da época em que a entrega foi enviada, não quando o alerta foi criado. |
| O objeto de alerta. Veja Campos de alerta. |
Campos de alerta
O objeto data contém o alerta. Os campos a seguir são aqueles em que a maioria dos consumidores age:
campo | Descrição |
|---|---|
| ID de alerta globalmente exclusivo (uuidv7). Use este campo para corresponder eventos |
| ID de exibição legível por humanos, por exemplo |
|
|
| Um de |
| Um de |
| Título curto do alerta. |
| Um de |
| O principal ao qual o alerta está atribuído. Não definido até ser atribuído, portanto aparece em eventos |
| Deep link para o alerta na interface do usuário do Lakewatch. Pode ser não definido. |
| Milissegundos da época em que o alerta foi criado. |
| O principal que criou o alerta: |
O payload também pode incluir name (o nome do recurso do alerta), description, rule_version, first_event_summary, first_event_at_millis, last_event_at_millis, total_event_count e triggering_signal (o evento de segurança representativo).
A seguir, um exemplo de payload lakewatch.alert.created:
{
"delivery_attempt_id": "fde7344f-2786-4516-a30b-dbd920207c9c",
"event_type": "lakewatch.alert.created",
"delivery_time_millis": 1790205121081,
"data": {
"name": "rules/4b54c235-39e7-476e-aac8-260f123f4533/alerts/81030035-3fa7-4ac2-859f-4215ebeca2d9",
"alert_id": "81030035-3fa7-4ac2-859f-4215ebeca2d9",
"seq_id": "sec-512",
"alert_type": "SECURITY_ALERT",
"alert_state": "OPEN",
"severity": "Medium",
"title": "Suspicious login activity",
"alert_url": "https://<workspace-host>/lakewatch/explore/alerts/sec-512",
"first_event_summary": "Multiple failed logins from a new location",
"total_event_count": 1,
"created_at_millis": 1790204960768,
"created_by": {
"id": "147014482147330",
"principal_type": "REGULAR_USER",
"email": "analyst@example.com",
"display_name": "Alex Analyst"
}
}
}
Um evento updated tem o mesmo formato, com event_type definido como lakewatch.alert.updated, o alert_state atual e campos pós-criação como classification e assignee populados.
Pré-requisitos
Um endpoint HTTPS que aceita solicitações POST e pode processar o payload JSON do alerta. O endpoint deve estar acessível a partir da internet pública. O Lakewatch não pode entregar para redes privadas, como Endpoint atrás de Private Link.
Configure um webhook como destino de alerta
Configure um destino de webhook para alertas na seção de configurações de Alertas .
- Na barra lateral do Lakewatch, vá para Configurações e abra Alertas .
- Em Entrega , defina Destino de alerta como Webhook .
- Em URL do webhook , insira o endpoint para o qual os alertas são enviados.
- Salve suas alterações.
Para obter a referência completa das configurações de alerta, consulte Definir configurações.
Solução de problemas
- Os payloads não atingem seu endpoint : a URL está errada ou o endpoint não aceita solicitações POST. Confirme a URL e que o endpoint está acessível e aceita um JSON POST.
- A configuração não salva : o URL do webhook não usa HTTPS ou aponta para uma rede privada. Confirme se a URL começa com
https://e se o endpoint está acessível pela internet pública.