Signaux
Aperçu
Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.
Un signal est un enregistrement d’événement produit lorsqu’un ou plusieurs événements correspondent aux critères d’une règle de détection, comme plusieurs tentatives de connexion échouées d’un utilisateur spécifique. Chaque signal comprend un résumé du comportement détecté, le moment où le premier événement s’est produit et le nombre d’événements correspondants. Les signaux peuvent exister sans alerte associée, par exemple lorsque l’alerte est supprimée.
Pour afficher les signaux, accédez à Alertes et ouvrez une alerte pour voir ses signaux associés. Pour query directement les signaux, utilisez la vue signals.
Déduplication de signal
Lakewatch empêche automatiquement les signaux en double d’encombrer votre workspace. Deux signaux sont des doublons lorsqu’une règle produit une ligne de résultat dont les valeurs sont identiques pour tous les champs de sortie de détection (pas seulement le résumé) par rapport à un signal que la même règle a déjà créé dans la fenêtre temporelle de déduplication. La déduplication est limitée à une seule règle ; ainsi, différentes règles ne sont jamais dédupliquées entre elles.
Lorsque Lakewatch détecte un doublon, il ignore complètement ce signal : aucun nouveau signal n’est inséré et aucune alerte n’est ouverte ou mise à jour.
La déduplication est distincte du regroupement de signaux, qui se produit plus tard. Un résumé correspondant ne conduit à la déduplication que lorsque le reste de la ligne de sortie correspond également. Un résumé correspondant seul conduit au regroupement.
- La déduplication s'exécute quand les signaux sont créés et supprime un signal seulement quand il correspond à un signal existant dans chaque champ de sortie de détection. Deux signaux qui partagent un résumé mais qui diffèrent dans d'autres champs sont tous deux créés.
- Le regroupement de signaux organise ensuite les signaux survivants en alertes en utilisant le résumé (plus l'ID de règle et la version), et rien d'autre. Les signaux qui partagent le résumé du signal d'ouverture sont attachés à la même alerte, même lorsque leurs autres champs diffèrent.
Comme une règle de détection ne conserve aucun point de contrôle des lignes qu'elle a déjà traitées, une exécution retardée, un remplissage ou une réexécution peuvent scanner une fenêtre temporelle qui chevauche la précédente et retourner les mêmes lignes plusieurs fois. La déduplication garantit que ces chevauchements ne génèrent pas de signaux en double.
Activer ou désactiver la déduplication
La déduplication est activée par default pour chaque règle. Pour la désactiver pour une règle, désactivez le paramètre Déduplication de la règle. Dans l’API, définissez le champ deduplication de la règle sur l’une de ces valeurs :
- Activé : dédupliquez les signaux de cette règle. C'est le mode default.
- Désactivé : ne déduplique jamais les signaux de cette règle.
Pour savoir où définir cette valeur, consultez Créer et gérer des règles de détection.
Fenêtre temporelle de déduplication
La fenêtre temporelle contrôle jusqu’à quelle période Lakewatch recherche un signal identique. Par default, la fenêtre est automatique : 3× l’intervalle de planification de la règle , plafonnée à 7 jours . Par exemple, une règle qui s’exécute toutes les heures utilise une fenêtre de 3 heures, et une règle qui s’exécute quotidiennement utilise une fenêtre de 3 jours.
Pour définir la fenêtre vous-même, spécifiez une durée explicite telle que 1h, 24h ou 7d (7 jours est le maximum). Databricks recommande de laisser la fenêtre sur automatique .
Vue Signaux
query les signaux à l'aide de la vue <UC-CATALOG>.__lakewatch.signals, où <UC-CATALOG> est votre catalogue Lakewatch. La vue contient des signaux produits par des règles de ce catalogue, y compris des signaux sans alerte associée. Elle contient des métadonnées sur les signaux et les alertes associées. Query-la pour analyser les signaux, les corréler aux alertes et créer des rapports ou des tableaux de bord personnalisés.
La vue des signaux inclut les ID d'alerte associés. Pour afficher et gérer les alertes, utilisez la page Alertes dans l'interface utilisateur.