Sinais
Visualização
O Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.
Um sinal é um registro de evento produzido quando um ou mais eventos correspondem aos critérios de uma regra de detecção, como várias tentativas de login com falha de um usuário específico. Cada sinal inclui um resumo do comportamento detectado, quando o primeiro evento ocorreu e o número de eventos correspondentes. Os sinais podem existir sem um alerta associado, por exemplo, quando o alerta é suprimido.
Para view sinais, vá para Alertas e abra um alerta para ver seus sinais relacionados. Para query sinais diretamente, use a view signals.
Deduplicação de sinal
O Lakewatch impede automaticamente que sinais duplicados desorganizem seu workspace. Dois sinais são duplicados quando uma regra produz uma linha de resultado cujos valores são idênticos em todos os campos de saída da detecção (não apenas no resumo) a um sinal que a mesma regra já criou dentro da janela de tempo de desduplicação. A desduplicação é limitada a uma única regra, portanto, diferentes regras nunca são desduplicadas umas contra as outras.
Quando Lakewatch detecta uma duplicata, ignora completamente esse sinal: nenhum novo sinal é inserido e nenhum alerta é aberto ou atualizado.
A desduplicação é distinta do agrupamento de sinais, que ocorre mais tarde. Um resumo correspondente só leva à desduplicação quando o restante da linha de saída também corresponde. Apenas um resumo correspondente leva ao agrupamento.
- A Desduplicação entra em execução quando os sinais são criados e descarta um sinal apenas quando ele corresponde a um sinal existente em cada campo de saída de detecção. Dois sinais que compartilham um resumo, mas diferem em qualquer outro campo, são criados.
- O agrupamento de sinais organiza os sinais restantes em alertas usando o resumo (mais o ID e a versão da regra) e nada mais. Sinais que compartilham o resumo do sinal de abertura anexarão ao mesmo alerta, mesmo quando seus outros campos forem diferentes.
Como uma regra de detecção não mantém um checkpoint das linhas que já processou, uma execução atrasada, um preenchimento ou uma reexecução pode verificar uma janela de tempo sobreposta e retornar as mesmas linhas várias vezes. A desduplicação garante que essas sobreposições não gerem sinais duplicados.
Ativar ou desativar a desduplicação
A desduplicação está ativada por default para cada regra. Para desativá-la em uma regra, desative a configuração Desduplicação da regra. Na API, defina o campo deduplication da regra com um destes valores:
- Habilitada : desduplicar os sinais desta regra. Este é o default.
- Desativado : Nunca deduplique os sinais desta regra.
Para saber onde definir esse valor, consulte Criar e gerenciar regras de detecção.
Janela de tempo de desduplicação
A janela de tempo controla até que ponto o Lakewatch procura por um sinal idêntico. Por default, a janela é automática : 3× o intervalo de programar da regra , limitado a 7 dias . Por exemplo, uma regra com execução a cada hora usa uma janela de 3 horas, e uma regra com execução diariamente usa uma janela de 3 dias.
Para definir a janela você mesmo, especifique uma duração explícita, como 1h, 24h ou 7d (7 dias é o máximo). A Databricks recomenda manter a janela em automático .
view de sinais
Faça query em sinais usando a view <UC-CATALOG>.__lakewatch.signals, onde <UC-CATALOG> é o seu catálogo Lakewatch. A view contém sinais produzidos por regras nesse catálogo, incluindo sinais sem um alerta associado. Contém metadados sobre sinais e seus alertas associados. Faça uma query para analisar sinais, correlacioná-los com alertas e criar relatórios ou dashboards personalizados.
A view de sinais inclui IDs de alertas associados. Para view e gerenciar alertas, use a página de Alertas na interface do usuário.