Webhook

info

Visualização

O Lakewatch está em visualização privada. Para solicitar acesso, entre em contato com a equipe da sua conta da Databricks.

Exporte alertas do Lakewatch para um webhook. Quando um alerta é criado, o Lakewatch o publica como um payload JSON em um endpoint HTTPS que você configura, onde sua própria automação pode agir sobre ele. Para saber como a exportação se comporta nos destinos, consulte Destinos de alertas.

A exportação para um webhook é unidirecional, do Lakewatch para o seu endpoint.

Payload do webhook

Quando o Lakewatch exporta um alerta para o seu webhook, ele POSTa um payload JSON. O Lakewatch envia um evento lakewatch.alert.created quando o alerta é criado. Ele também envia um evento lakewatch.alert.updated para alterações posteriores em um alerta já exportado, mas apenas quando a entrega de atualização está habilitada para o destino. Um encerramento é uma atualização que carrega um alert_state terminal (RESOLVED ou DUPLICATE), portanto não há um evento de encerramento separado. Para a configuração que permite a entrega de atualizações, consulte Configurar definições.

A entrega é feita no máximo uma vez por evento, sem nova tentativa. O alerta ainda é criado no Lakewatch se a entrega falhar.

nota

As chaves estão em snake_case. Os campos Enum são enviados como seus nomes de strings, por exemplo "SECURITY_ALERT", não números. Campos opcionais não definidos são omitidos do JSON em vez de enviados como null, portanto, um campo numérico ausente está ausente, não 0.

Cabeçalhos

Cada solicitação inclui os seguintes cabeçalhos:

• Content-Type: application/json
• User-Agent: Databricks-Webhooks/1.0
• X-Webhook-Event-Type: o tipo de evento
• X-Delivery-Attempt-Id: o ID da tentativa de entrega
• X-Webhook-Timestamp: o tempo de entrega em milissegundos de época

Campos de envelope

campo	Descrição
event_type	lakewatch.alert.created ou lakewatch.alert.updated.
delivery_attempt_id	Único por tentativa de entrega. Use-o para desduplicação.
delivery_time_millis	Milissegundos da época em que a entrega foi enviada, não quando o alerta foi criado.
data	O objeto de alerta. Veja Campos de alerta.

campo	Descrição
event_type	lakewatch.alert.created ou lakewatch.alert.updated.
delivery_attempt_id	Único por tentativa de entrega. Use-o para desduplicação.
delivery_time_millis	Milissegundos da época em que a entrega foi enviada, não quando o alerta foi criado.
data	O objeto de alerta. Veja Campos de alerta.

Campos de alerta

O objeto data contém o alerta. Os campos a seguir são aqueles em que a maioria dos consumidores age:

campo	Descrição
alert_id	ID de alerta globalmente exclusivo (uuidv7). Correlacione os eventos created e updated para o mesmo alerta neste campo.
seq_id	ID de exibição legível por humanos, por exemplo sec-42. Somente para exibição, não uma key.
alert_type	SECURITY_ALERT.
alert_state	Um de OPEN, IN_PROGRESS, MITIGATED, RESOLVED ou DUPLICATE.
severity	Um de Informational, Low, Medium, High ou Critical. Alertas com severidade informativa não são exportados.
title	Título curto do alerta.
classification	Um de FALSE_POSITIVE, BENIGN_POSITIVEou TRUE_POSITIVE. Não definido até que um analista trie o alerta, para que ele apareça nos eventos updated em vez de na criação.
assignee	O principal ao qual o alerta está atribuído. Não definido até ser atribuído, portanto aparece em eventos updated.
alert_url	Deep link para o alerta na interface do usuário do Lakewatch. Pode ser não definido.
created_at_millis	Milissegundos da época em que o alerta foi criado.
created_by	O principal que criou o alerta: id, principal_type (um de REGULAR_USER, SERVICE_PRINCIPAL ou SYSTEM_USER), email e display_name.

campo	Descrição
alert_id	ID de alerta globalmente exclusivo (uuidv7). Correlacione os eventos created e updated para o mesmo alerta neste campo.
seq_id	ID de exibição legível por humanos, por exemplo sec-42. Somente para exibição, não uma key.
alert_type	SECURITY_ALERT.
alert_state	Um de OPEN, IN_PROGRESS, MITIGATED, RESOLVED ou DUPLICATE.
severity	Um de Informational, Low, Medium, High ou Critical. Alertas com severidade informativa não são exportados.
title	Título curto do alerta.
classification	Um de FALSE_POSITIVE, BENIGN_POSITIVEou TRUE_POSITIVE. Não definido até que um analista trie o alerta, para que ele apareça nos eventos updated em vez de na criação.
assignee	O principal ao qual o alerta está atribuído. Não definido até ser atribuído, portanto aparece em eventos updated.
alert_url	Deep link para o alerta na interface do usuário do Lakewatch. Pode ser não definido.
created_at_millis	Milissegundos da época em que o alerta foi criado.
created_by	O principal que criou o alerta: id, principal_type (um de REGULAR_USER, SERVICE_PRINCIPAL ou SYSTEM_USER), email e display_name.

O payload também pode incluir name (o nome do recurso do alerta), description, rule_version, first_event_summary, first_event_at_millis, last_event_at_millis, total_event_count e triggering_signal (o evento de segurança representativo).

A seguir, um exemplo de payload lakewatch.alert.created:

JSON

{
  "delivery_attempt_id": "fde7344f-2786-4516-a30b-dbd920207c9c",
  "event_type": "lakewatch.alert.created",
  "delivery_time_millis": 1790205121081,
  "data": {
    "name": "rules/4b54c235-39e7-476e-aac8-260f123f4533/alerts/81030035-3fa7-4ac2-859f-4215ebeca2d9",
    "alert_id": "81030035-3fa7-4ac2-859f-4215ebeca2d9",
    "seq_id": "sec-512",
    "alert_type": "SECURITY_ALERT",
    "alert_state": "OPEN",
    "severity": "Medium",
    "title": "Suspicious login activity",
    "alert_url": "https://<workspace-host>/lakewatch/explore/alerts/sec-512",
    "first_event_summary": "Multiple failed logins from a new location",
    "total_event_count": 1,
    "created_at_millis": 1790204960768,
    "created_by": {
      "id": "147014482147330",
      "principal_type": "REGULAR_USER",
      "email": "analyst@example.com",
      "display_name": "Alex Analyst"
    }
  }
}

Um evento updated tem o mesmo formato, com event_type definido como lakewatch.alert.updated, o alert_state atual e campos pós-criação como classification e assignee populados.

Pré-requisitos

Um endpoint HTTPS que aceita solicitações POST e pode processar o payload JSON de alerta.

Configurar exportação de webhook

Configure um destino de webhook para alertas na seção de configurações de Alertas .

1. Na barra lateral do Lakewatch, vá para Configurações e abra Alertas .
2. Encontre a configuração Exportar em Alertas .
3. Defina o destino de exportação como Webhook .
4. Para Workspace , mantenha o workspace atual, a menos que o destino esteja atrás de uma rede de um workspace específico, como um endpoint PrivateLink ou um serviço com restrição de região. A rede deste workspace entrega a exportação.
5. Em URL do webhook , insira o endpoint para o qual os alertas são enviados.
6. Salve suas alterações.

Para obter a referência completa das configurações de alerta, consulte Definir configurações.

Solução de problemas

• Os payloads não atingem seu endpoint : a URL está errada ou o endpoint não aceita solicitações POST. Confirme a URL e que o endpoint está acessível e aceita um JSON POST.