Alertes
Aperçu
Lakewatch est en aperçu privé. Pour demander l’accès, contactez l’équipe chargée de votre compte Databricks.
Une alerte regroupe des signaux pour que vous puissiez examiner les activités associées ensemble.
Vous pouvez trier une alerte avec Genie Code depuis sa page de détails. Voir Trier les alertes avec Genie.
Comment créer des alertes ?
Lakewatch crée automatiquement des alertes ; vous ne pouvez pas créer une alerte manuellement. Lorsqu'une règle de détection est déclenchée, Lakewatch regroupe les signaux associés dans une seule alerte grâce au regroupement de signaux plutôt que d'ouvrir une nouvelle alerte pour chaque signal. Un nouveau signal est associé à une alerte existante lorsque toutes les conditions suivantes sont remplies :
- Le signal partage le même ID de règle, la même version de règle et le même résumé que le signal qui a ouvert l'alerte existante.
- L'alerte existante a été ouverte dans la fenêtre de classement , qui détermine la durée pendant laquelle une alerte reste ouverte pour collecter les signaux correspondants. La fenêtre de classement est default à 1 heure et est configurable par catalogue dans les paramètres.
- L'alerte existante est toujours ouverte ou en cours.
Lakewatch crée une nouvelle alerte lorsqu’aucune alerte correspondante n’existe, lorsque l’alerte correspondante la plus récente a été ouverte avant la fenêtre de classement ou lorsque l’alerte correspondante est résolue ou marquée comme doublon.
Les critères de regroupement (ID de règle, version de règle et résumé) ne peuvent pas être personnalisés, mais vous pouvez modifier la fenêtre de classement par catalogue. Le regroupement de signaux est distinct de la déduplication de signaux, qui s’exécute plus tôt : la déduplication supprime les signaux identiques lorsqu’ils sont créés, puis le regroupement organise les signaux survivants en alertes.
Une alerte est regroupée sur le résumé du signal qui l'a ouverte. Lorsqu'une règle se déclenche, Lakewatch fait correspondre chaque nouveau signal avec le résumé du signal d'ouverture, les deux résumés doivent donc être identiques pour que les signaux aboutissent à la même alerte.
Le summary d’une règle est un template qui peut interpoler des données d’événement avec des placeholders {sql-expression}, et le regroupement compare le texte rendu . Si le résumé inclut une valeur qui diffère à chaque correspondance, telle qu’un timestamp ou un ID d’événement, chaque signal rend un résumé unique et ouvre sa propre alerte au lieu de se regrouper. Si une règle ouvre beaucoup plus d’alertes que prévu, vérifiez si son résumé peut être généralisé.
# Too specific: {time} differs on every event, so every failed login opens its own alert
summary: "Failed login by {actor.user.name} at {time}"
# Better: all of a user's failed logins render the same summary and group into one alert
summary: "Failed login by {actor.user.name}"
Limite d'alerte pour les règles bruyantes
Chaque version d’une règle de détection peut ouvrir au maximum 1 000 nouvelles alertes dans une fenêtre glissante de 24 heures. Il n’y a pas de limite au nombre de signaux qu’une règle peut produire.
Lorsqu’une version de règle atteint la limite, Lakewatch cesse d’ouvrir de nouvelles alertes pour celle-ci et regroupe plutôt tous les autres signaux de cette version de règle dans une seule alerte de débordement avec le résumé « Trop de signaux détectés pour la règle [ID de règle] », afin qu’une règle bruyante ne puisse pas inonder la liste des alertes. L’alerte de débordement est une alerte normale : elle apparaît dans la liste des alertes avec une gravité héritée de la règle, et vous pouvez l’attribuer, la commenter et la résoudre comme n’importe quelle autre alerte. Une alerte de débordement a une fenêtre de classement fixe de 24 heures : tant qu’une version de règle dépasse sa limite, les nouveaux signaux s’attachent à une alerte de débordement ouverte existante des dernières 24 heures s’il en existe une, et sinon ouvrent une nouvelle alerte de débordement.
La création normale d’alertes reprend automatiquement lorsque le nombre d’alertes de la version de la règle sur 24 heures retombe sous la limite. Comme la limite est suivie par version de règle, la mise à jour de la règle ( par exemple, l'ajustement de sa query afin qu'elle produise moins de signaux distincts ) start également un nouveau compteur.
Utilisation des alertes
Pour gérer les alertes, accédez à Alertes . Dans la liste des alertes, vous pouvez :
- Rechercher et filtrer : Rechercher des alertes par identifiant d'alerte ou description. Filtrer par état (Actif, En cours, Résolu, En double, Non spécifié), gravité, responsable, règle de détection et date de création. La recherche et les sélections de filtres persistent lors de la navigation dans Lakewatch, et l'état du filtre actif est reflété dans l'URL. Copiez l'URL pour partager ou mettre en favori une vue filtrée.
- Afficher la liste : voir toutes les alertes dans le catalogue actuel auxquelles vous pouvez accéder. La liste affiche les colonnes pour la gravité, l'état, le nombre de signaux, le destinataire et les Timestamp. Les colonnes sont triables et redimensionnables.
- Actions en masse : sélectionnez une ou plusieurs alertes dans la liste pour effectuer des mises à jour en masse, limitées à 25 alertes par opération.
- Ouvrir les détails : cliquez sur un ID d’alerte pour ouvrir la page des détails de l’alerte, où vous pouvez afficher les signaux et modifier les attributs.
Détails de l’alerte
Cliquez sur un identifiant d’alerte pour ouvrir la page des détails de l’alerte. La page est organisée en deux tab :
- Vue d'ensemble : affiche la description, l'objectif de détection et les commentaires. Vous pouvez modifier la description en cliquant sur « Modifier la description ». Les commentaires prennent en charge la syntaxe Markdown.
- Signaux : Liste les signaux qui sont regroupés dans cette alerte.
À partir de la page de détails de l’alerte, vous pouvez également :
- Cliquez sur l’ID d’un signal pour voir ses détails, y compris la règle utilisée pour le générer.
- Utilisez le panneau Genie pour analyser l’alerte : « Résumer cette alerte », « Trier cette alerte » ou demandez « Que puis-je faire avec cette alerte ? ».
Attributs d'alerte
Chaque alerte possède les attributs modifiables suivants :
- Description : texte personnalisé que vous pouvez ajouter ou mettre à jour pour documenter l'enquête. Modifiez-le sur la page de détails des alertes avec le bouton « Modifier la description ».
- Destinataire : l'utilisateur responsable de l'investigation. La valeur default est « Unassigned ».
- État : Ouvert, En cours, Atténué, Résolu, En double ou Non spécifié.
- Gravité : héritée de la règle de détection associée au premier signal connecté à l’alerte. Vous pouvez remplacer manuellement la gravité à tout moment.
- Classification : indique si l'activité détectée par l'alerte est une menace réelle. Choisissez Faux positif, Bénin positif ou Vrai positif (ou Non spécifié si le tri n'a pas encore été effectué).
Chaque alerte possède également les attributs suivants en lecture seule :
- ID d'alerte (seq_id) : identifiant unique généré par le système, affiché comme
Alert <uuid>etSEC-<number>. Copiez-le avec le bouton « Copier l’ID ». - Titre de l'alerte : résumé généré par le système de l'alerte. Immuable ; ne peut pas être modifié. Basé sur le template de résumé de la règle de détection.
- Lien permanent : lien stable vers l'alerte (seq_id). Copiez-le avec le bouton « Copier le lien permanent ».
- Règle : règle de détection ayant produit les signaux de l'alerte.
- Propriétaire de la règle : le principal propriétaire de la règle de détection.
- Premier/dernier événement : Timestamp de la création des premier et dernier signaux attachés à l'alerte.
- Nombre de signaux : le nombre de signaux attachés à l'alerte. Ce nombre est approximatif et peut être en retard, surtout en cas de charge élevée de signaux.
- Créé le : timestamp de la création de l’alerte.
- Mis à jour à : Timestamp de la dernière modification de l'alerte.
Exportation des alertes
Exportez des alertes vers un système externe, tel que ServiceNow, Tines, un webhook ou Jira, afin que votre équipe puisse les suivre et intervenir dans les outils qu'elle utilise déjà. Pour les destinations et la configuration, consultez Destinations d'alerte.