アラート
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
アラート は、関連するアクティビティをまとめて調査できるように シグナル をグループ化します。
アラートの詳細ページからGenie Codeを使用してアラートのトリアージを行うことができます。「Genieを使用したアラートのトリアージ」を参照してください。
アラートはどのように作成されますか？
Lakewatchはアラートを自動的に作成します。アラートを手動で作成することはできません。検出ルールが発動すると、Lakewatchはシグナルごとに新しいアラートを開くのではなく、 シグナルグルーピング を通じて関連するシグナルを1つのアラートにグループ化します。新しいシグナルは、次の条件がすべて満たされた場合に既存のアラートに添付されます。
- シグナルは、既存のアラートを開いたシグナルと同じルールID、ルールバージョン、およびサマリーを共有します。
- 既存のアラートは 照合ウィンドウ 内で開かれました。これは、一致するシグナルを収集するためにアラートがアクティブな状態を維持する期間を決定します。照合ウィンドウのdefaultは1時間で、設定でカタログごとに設定できます。
- 既存のアラートが Open または In Progress の状態のままです。
Lakewatchは、一致するアラートが存在しない場合、一致する最新のアラートが照合ウィンドウより前に開かれた場合、または一致するアラートが解決済みとしてマークされているか重複としてマークされている場合に、新しいアラートを作成します。
グループ化条件（ルールID、ルールバージョン、サマリー）はカスタマイズできませんが、カタログごとに照合ウィンドウを変更できます。シグナルのグループ化は、先に実行される シグナルの重複排除とは別個に行われます。重複排除は生成されたシグナルが同一であれば除外し、その後にグループ化によって残ったシグナルをアラートとして整理します。
アラートは、それを開いたシグナルのサマリーでグループ化されます。ルールが起動すると、Lakewatchは新しい各シグナルを開くシグナルのサマリーと照合するため、シグナルを同じアラートに格納するには2つのサマリーが完全に一致している必要があります。
ルールのsummaryは、{sql-expression}プレースホルダーでイベントデータを補間できるTemplateであり、グループ化により レンダリングされた テキストが比較されます。サマリーにTimestampやイベントIDなど、一致するたびに異なる値が含まれている場合、各シグナルは一意のサマリーをレンダリングし、グループ化ではなく独自の「アラート」を開きます。ルールが予想よりもはるかに多くのアラートを開く場合は、サマリーを一般化できるかどうかを確認してください。
# Too specific: {time} differs on every event, so every failed login opens its own alert
summary: "Failed login by {actor.user.name} at {time}"
# Better: all of a user's failed logins render the same summary and group into one alert
summary: "Failed login by {actor.user.name}"
ノイジーなルールのアラート制限
検出ルールの各バージョンは、直前の24時間のウィンドウ内で最大1,000件の新しいアラートを開くことができます。ルールが生成できるシグナルの数に制限はありません。
ルールバージョンが制限に達すると、Lakewatchはそのルールバージョンに対して新しいアラートを開くことを停止し、そのルールバージョンからの以降のすべてのシグナルを"Too many signals detected for rule [rule ID]"というサマリーを持つ単一のオーバーフローアラートにグループ化します。これにより、ノイズの多いルールがアラートリストを氾濫させることがなくなります。オーバーフローアラートは通常のアラートであり、ルールから継承された重要度でアラートリストに表示され、他のアラートと同様に割り当て、コメント、解決を行うことができます。オーバーフローアラートには24時間の固定照合ウィンドウがあります。ルールバージョンが制限を超えている間、新しいシグナルは過去24時間に既存の開いているオーバーフローアラートがある場合はそこに添付され、それ以外の場合は新しいオーバーフローアラートが開かれます。
ルールバージョンの24時間のアラート数が制限を下回ると、通常のアラート作成が自動的に再開されます。制限はルールバージョンごとに追跡されるため、ルールを更新する（たとえば、クエリーを調整して生成される異なるシグナルを減らす）と、カウントも新しく開始されます。
アラートの操作
アラートを管理するには、 アラート に移動します。アラートリストで、次のことができます。
- 検索とフィルタリング : アラートIDまたは説明でアラートを検索します。状態（アクティブ、進行中、解決済み、重複、未指定）、重大度、担当者、検出ルール、および作成日でフィルタリングします。検索とフィルターの選択はLakewatch内のナビゲーション全体で保持され、アクティブなフィルターの状態はURLに反映されます。URLをコピーして、フィルタリングされたビューを共有またはブックマークします。
- リストの表示 ：アクセス可能な現在のカタログ内のすべてのアラートを表示します。リストには、重大度、状態、シグナル数、担当者、Timestampの列が表示されます。列は並べ替えとサイズ変更が可能です。
- 一括操作 ：リストから1つまたは複数のアラートを選択して一括更新を実行します（操作ごとに最大25件まで）。
- 詳細を開く ：アラートIDをクリックしてアラート詳細ページを開き、シグナルを表示して属性を編集します。
アラートの詳細
アラートIDをクリックすると、アラート詳細ページが開きます。このページは2つのtabに構成されています。
- 概要 ：説明、検出目的、およびコメントが表示されます。「説明の編集」をクリックして説明を編集できます。コメントはMarkdown構文をサポートしています。
- シグナル ：このアラートにグループ化されたシグナルをリストします。
アラート詳細ページから、次の操作も実行できます。
- シグナルIDをクリックすると、シグナルの生成に使用されたルールなど、シグナルの詳細が表示されます。
- Genie パネルを使用してアラートを調査します。「このアラートを要約して」、「このアラートをトリアージして」、または「このアラートで何ができる？」と質問してください。
アラート属性
各アラートには、次の編集可能な属性があります：
- 説明 ：調査を文書化するために追加または更新できるカスタムテキスト。アラートの詳細ページの「説明の編集」ボタンから編集してください。
- 担当者 ：調査を担当するユーザー。defaultは「未割り当て」です。
- 状態 ：未対応、対応中、緩和済み、解決済み、重複、未指定のいずれか。
- 重要度 ：アラートに接続された最初のシグナルに関連付けられた 検出ルールから継承されます。重要度はいつでも手動で上書きできます。
- 分類 ：アラートでキャプチャされたアクティビティが実際の脅威であるかどうかを示します。「偽陽性」、「良性陽性」、または「真陽性」（未トリアージの場合は「未指定」）を選択します。
各アラートには、次の読み取り専用属性もあります。
- アラート ID (seq_id): システムによって生成された一意の識別子。
Alert <uuid>およびSEC-<number>と表示されます。「IDをコピー」ボタンでコピーします。 - アラートタイトル ： アラートのシステム生成されたサマリー。不変。編集はできません。検出ルールのサマリーTemplateに基づいています。
- パーマリンク : アラートへの安定したLink (seq_id)。「パーマリンクをコピー」ボタンでコピーしてください。
- ルール： アラートのシグナルを生成した検出ルール。
- ルール所有者： 検出ルールを所有するプリンシパル。
- 最初/最後のイベント ：アラートに添付された最初と最後のシグナルが作成された時のTimestamp。
- シグナル数 ： アラートに添付されたシグナルの数。このカウントは概算であり、特にシグナル負荷が高い場合には遅延が生じる可能性があります。
- 作成日時 ：アラートが作成されたときのTimestamp。
- 更新日時 ：アラートが最後に変更されたときのTimestamp。
アラートのエクスポート
アラートをServiceNow、Tines、webhook、Jiraなどの外部システムにエクスポートして、チームが既存のツールでアラートを追跡および処理できるようにします。送信先と設定については、「 アラート通知先」を参照してください。