Alertas
Visualização
O Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.
Um alerta agrupa sinais para que você possa investigar atividades relacionadas.
Você pode fazer a triagem de um alerta com o Genie Code na sua página de detalhes. Consulte Fazer triagem de alertas com o Genie.
Como os alertas são criados?
O Lakewatch cria alertas automaticamente e você não pode criar um alerta manualmente. Quando uma regra de detecção é disparada, o Lakewatch agrupa sinais relacionados em um único alerta por meio do agrupamento de sinais , em vez de abrir um novo alerta para cada sinal. Um novo sinal é anexado a um alerta existente quando todas as seguintes condições são atendidas:
- O sinal compartilha o mesmo ID de regra, versão de regra e resumo que o sinal que abriu o alerta existente.
- O alerta existente foi aberto dentro da janela de agrupamento , que determina quanto tempo um alerta permanece aberto para coletar sinais correspondentes. A janela de agrupamento é de 1 hora por default e é configurável por catálogo em Configurações.
- O alerta existente ainda está no estado Aberto ou Em andamento.
O Lakewatch cria um novo alerta quando nenhum alerta correspondente existe, o alerta correspondente mais recente foi aberto antes da janela de agrupamento ou o alerta correspondente foi resolvido ou marcado como duplicado.
Os critérios de agrupamento (ID da regra, versão da regra e resumo) não podem ser personalizados, mas você pode alterar a janela de colação por catálogo. O agrupamento de sinais é diferente do deduplicação de sinais, que é executado anteriormente: a deduplicação descarta sinais idênticos à medida que são criados, e o agrupamento organiza os sinais sobreviventes em alertas.
Um alerta é agrupado no resumo do sinal que o abriu. Quando uma regra é disparada, o Lakewatch corresponde cada novo sinal com o resumo do sinal de abertura, então os dois resumos devem ser idênticos para que os sinais caiam no mesmo alerta.
Um summary de regra é um padrão que pode interpolar dados de eventos com espaços {sql-expression} reservados, e o agrupamento compara o texto renderizado . Se o resumo incluir um valor que difere em cada correspondência, como um timestamp ou ID de evento, cada sinal renderiza um resumo exclusivo e abre seu próprio alerta em vez de agrupar. Se uma regra abrir muito mais alertas do que o esperado, verifique se seu resumo pode ser generalizado.
# Too specific: {time} differs on every event, so every failed login opens its own alert
summary: "Failed login by {actor.user.name} at {time}"
# Better: all of a user's failed logins render the same summary and group into one alert
summary: "Failed login by {actor.user.name}"
Limite de alerta para regras ruidosas
Cada versão de uma regra de detecção pode abrir no máximo 1.000 novos alertas dentro de uma janela contínua de 24 horas. Não há limite para o número de sinais que uma regra pode produzir.
Quando uma versão de regra atinge o limite, o Lakewatch para de abrir novos alertas para ela e, em vez disso, agrupa todos os outros sinais dessa versão de regra em um único alerta de estouro com o resumo "Muitos sinais detectados para a regra [rule ID]", de modo que uma regra ruidosa não possa inundar a lista de alertas. O alerta de estouro é um alerta normal: ele aparece na lista de alertas com a gravidade herdada da regra, e você pode atribuí-lo, comentá-lo e resolvê-lo como qualquer outro alerta. Um alerta de estouro tem uma janela de ordenação fixa de 24 horas: enquanto uma versão de regra está acima de seu limite, novos sinais se anexam a um alerta de estouro aberto existente das últimas 24 horas, se um existir, e caso contrário, abrem um novo alerta de estouro.
A criação normal de alertas é retomada automaticamente quando a contagem de alertas em 24 horas da versão da regra cai novamente abaixo do limite. Como o limite é monitorado por versão da regra, a atualização da regra (por exemplo, ajustar a query para que ela produza menos sinais distintos) também começa uma nova contagem.
Trabalhando com alertas
Para gerenciar alertas, navegue até Alertas . Na lista de alertas, você pode:
- Pesquisar e filtrar : Pesquise alertas por ID ou descrição do alerta. Filtre por estado (Ativo, Em progresso, Resolvido, Duplicado, Não especificado), gravidade, responsável, regra de detecção e data de criação. As seleções de pesquisa e filtro persistem durante a navegação no Lakewatch, e o estado do filtro ativo é refletido no URL. Copie o URL para compartilhar ou marcar uma view filtrada.
- view a lista : ver todos os alertas no catálogo atual que você pode acessar. A lista exibe colunas para gravidade, estado, contagem de sinais, responsável e Timestamp. As colunas são ordenáveis e redimensionáveis.
- Ações em massa : selecione um ou mais alertas da lista para realizar atualizações em massa, limitadas a 25 alertas por operação.
- Abrir detalhes : clique no ID de um alerta para abrir a página de detalhes do alerta, onde você pode view sinais e editar atributos.
Detalhes do alerta
Clique em um ID de alerta para abrir a página de detalhes do alerta. A página está organizada em duas tab:
- Visão geral : Exibe descrição, objetivo da detecção e comentários. Você pode editar a descrição clicando em "Editar descrição". Os comentários oferecem suporte à sintaxe Markdown.
- Sinais : Lista os sinais que são agrupados neste alerta.
A partir da página de detalhes do alerta, você também pode:
- Clique em um ID de sinal para view seus detalhes, incluindo a regra usada para gerá-lo.
- Use o painel Genie para investigar o alerta: "Resumir este alerta", "Fazer triagem deste alerta" ou pergunte "O que posso fazer com este alerta?".
Atributos de alerta
Cada alerta tem os seguintes atributos editáveis:
- Descrição : texto personalizado que você pode adicionar ou atualizar para documentar a investigação. Edite-o na página de detalhes do alerta com o botão "Editar descrição".
- Responsável : O usuário responsável pela investigação. O default é "Não atribuído".
- Estado : Um entre Aberto, Em andamento, Mitigado, Resolvido, Duplicado ou Não especificado.
- Severidade : herdada da regra de detecção associada ao primeiro sinal conectado ao alerta. Você pode substituir manualmente a gravidade a qualquer momento.
- Classificação : Indica se a atividade registrada no alerta é uma ameaça real. Escolha Falso positivo, Positivo benigno ou Verdadeiro positivo (ou Não especificado se ainda não foi triado).
Cada alerta também tem os seguintes atributos somente de leitura:
- ID do alerta (seq_id): Um identificador exclusivo gerado pelo sistema, exibido como
Alert <uuid>eSEC-<number>. Copie-o com o botão "Copiar ID". - Título do alerta : resumo gerado pelo sistema do alerta. Imutável; não pode ser editado. Com base no padrão de resumo da regra de detecção.
- Link permanente : um link estável para o alerta (o seq_id). Copie-o com o botão "Copiar link permanente".
- Regra : a regra de detecção que produziu os sinais do alerta.
- Proprietário da regra : A entidade que possui a regra de detecção.
- Primeiro/Último evento : Timestamps de quando o primeiro e o último sinais anexados ao alerta foram criados.
- Contagem de sinais : O número de sinais anexados ao alerta. Essa contagem é aproximada e pode sofrer atrasos, especialmente sob alta carga de sinal.
- Criado em : Timestamp de quando o alerta foi criado.
- Atualizado em : Timestamp de quando o alerta foi modificado pela última vez.
Exportação de alertas
Exporte alertas para um sistema externo, como ServiceNow, Tines, um webhook ou Jira, para que sua equipe possa rastreá-los e agir sobre eles nas ferramentas que já usa. Para destinos e configuração, consulte Destinos de alertas.