シグナル
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
シグナル とは、特定のユーザーからの複数のログイン失敗など、1 つ以上のイベントが検出ルールの条件に一致したときに生成されるイベントレコードです。各シグナルには、検出された動作の概要、最初のイベントが発生した時刻、一致したイベントの数が含まれます。シグナルは、アラートの抑制時など、関連付けられたアラートなしで存在できます。
シグナルを表示するには、 アラート に移動し、アラートを開いて関連するシグナルを確認します。シグナルを直接クエリーするには、signalsビューを使用します。
シグナルの重複排除
Lakewatchは、重複したシグナルがワークスペースを乱雑にすることを自動的に防ぎます。2つのシグナルは、ルールが重複排除期間内ですでに作成されたシグナルと すべての 検出出力フィールド（サマリーだけでなく）全体で値が同一の結果行を生成する場合に重複とみなされます。重複排除は単一のルールに限定されるため、異なるルールが互いに重複排除することはありません。
Lakewatchが重複を検出すると、そのシグナルは完全にスキップされます。新しいシグナルは挿入されず、アラートは開かれたり更新されたりしません。
重複排除は、後に発生するシグナルのグループ化とは異なります。サマリーが一致する場合でも、出力行の残りの部分が一致する場合にのみ重複排除が行われます。一致するサマリーのみがグループ化につながります。
- 重複排除 はシグナルが作成されるときに実行され、 すべての 検出出力フィールドにおいて既存のシグナルと一致する場合にのみシグナルをドロップします。サマリーは共通しているが他のフィールドが異なる2つのシグナルは、両方とも作成されます。
- シグナルのグループ化 では、サマリー（およびルールIDとバージョン）を使用して、残りのシグナルをアラートに整理します。それ以外は使用されません。サマリーが同じシグナルは、他のフィールドが異なっていても、最初のシグナルのサマリーを持つ同じアラートに添付されます。
検出ルールは処理済みの行のチェックポイントを保持しないため、ランの遅延、バックフィル、または再ランを行うと、重複する時間ウィンドウをスキャンして同じ行を複数回返す可能性があります。重複排除により、これらの重複によってシグナルが複製されないようになります。
重複排除の有効化と無効化
重複排除は、すべてのルールでdefaultで有効になっています。ルールで重複排除を無効にするには、そのルールの 「重複排除」 設定を無効にします。APIで、ルールのdeduplication フィールドに次のいずれかの値を設定します：
- 有効 : このルールのシグナルを重複排除します。これがdefaultです。
- 無効 ：このルールのシグナルは決して重複排除されません。
この値の設定場所については、検出ルールの作成と管理をご覧ください。
重複排除の時間枠
時間枠は、Lakewatchが同一のシグナルをどこまで遡って検索するかを制御します。defaultでは、ウィンドウは 自動 で、 ルールのスケジュール間隔の3倍 、最大 7日間 となります。たとえば、1時間ごとに実行されるルールは3時間枠を、毎日実行されるルールは3日枠を使用します。
ウィンドウを自分で設定するには、1h、24h、または7dなどの明示的な期間を指定します（最大期間は7日間です）。Databricksでは、ウィンドウを 自動 のままにすることを推奨しています。
シグナルビュー
<UC-CATALOG>.__lakewatch.signalsビューを使用してシグナルをクエリーします。<UC-CATALOG>はLakewatchカタログです。このビューには、関連付けられたアラートを持たないシグナルを含め、そのカタログ内のルールによって生成されたシグナルが含まれています。これには、シグナルとその関連アラートに関するメタデータが保持されます。これをクエリーしてシグナルを分析し、アラートと関連付けて、カスタムレポートまたはダッシュボードを作成します。
シグナル ビューには、関連付けられたアラート ID が含まれます。アラートを表示および管理するには、UIのアラート ページを使用します。