Sinais
Visualização
O Lakewatch está em Pré-visualização privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.
Um sinal é um registro de evento produzido quando um ou mais eventos correspondem aos critérios de uma regra de detecção, como várias tentativas de login com falha de um usuário específico. Cada sinal inclui um resumo do comportamento detectado, quando o primeiro evento ocorreu e o número de eventos correspondentes. Cada sinal se anexa a exatamente um alerta.
Para view os sinais, vá para Alerts e abra um alerta para view os sinais relacionados. Para query sinais diretamente, use a signals tabela do sistema.
Deduplicação de sinal
O Lakewatch impede automaticamente que sinais duplicados desorganizem seu workspace. Dois sinais são duplicados quando uma regra produz uma linha de resultado cujos valores são idênticos em todos os campos de saída da detecção (não apenas no resumo) a um sinal que a mesma regra já criou dentro da janela de tempo de desduplicação. A desduplicação é limitada a uma única regra, portanto, diferentes regras nunca são desduplicadas umas contra as outras.
Quando Lakewatch detecta uma duplicata, ignora completamente esse sinal: nenhum novo sinal é inserido e nenhum alerta é aberto ou atualizado.
A desduplicação é distinta do agrupamento de sinais, que ocorre mais tarde. Um resumo correspondente só leva à desduplicação quando o restante da linha de saída também corresponde. Apenas um resumo correspondente leva ao agrupamento.
- A Desduplicação entra em execução quando os sinais são criados e descarta um sinal apenas quando ele corresponde a um sinal existente em cada campo de saída de detecção. Dois sinais que compartilham um resumo, mas diferem em qualquer outro campo, são criados.
- O agrupamento de sinais organiza os sinais restantes em alertas usando o resumo (mais o ID e a versão da regra) e nada mais. Sinais que compartilham o resumo do sinal de abertura anexarão ao mesmo alerta, mesmo quando seus outros campos forem diferentes.
Como uma regra de detecção não mantém um checkpoint das linhas que já processou, uma execução atrasada, um preenchimento ou uma reexecução pode verificar uma janela de tempo sobreposta e retornar as mesmas linhas várias vezes. A desduplicação garante que essas sobreposições não gerem sinais duplicados.
Ativar ou desativar a desduplicação
A desduplicação está ativada por default para cada regra. Você pode controlar isso em dois níveis:
- Workspace : Define o default para todas as regras. Alterne a desduplicação de sinal nas configurações de alerta do seu workspace. Ativado por default.
- Por regra : Substitui o default do Workspace para uma única regra, usando a configuração Deduplicação da regra:
- Default : Herdará a configuração do workspace.
- Ativado : sempre deduplique os sinais desta regra.
- Desativado : Nunca deduplique os sinais desta regra.
Para saber onde definir os valores por regra, consulte Criar e gerenciar regras de detecção.
Janela de tempo de desduplicação
A janela de tempo controla até que ponto o Lakewatch procura por um sinal idêntico. Por default, a janela é automática : 3× o intervalo de programar da regra , limitado a 7 dias . Por exemplo, uma regra com execução a cada hora usa uma janela de 3 horas, e uma regra com execução diariamente usa uma janela de 3 dias.
Para definir a janela você mesmo, especifique uma duração explícita, como 1h, 24h ou 7d (7 dias é o máximo). A Databricks recomenda manter a janela em automático .
Tabela do sistema de sinais
O Lakewatch fornece uma tabela do sistema de sinais em <LW-CATALOG>.internal.signals em cada catálogo do Lakewatch. Há uma tabela separada por catálogo, e cada uma contém apenas os sinais produzidos pelas regras desse catálogo. A tabela contém metadados sobre sinais e os alertas com os quais estão associados. Faça query nela para analisar sinais, correlacioná-los com alertas e criar relatórios ou dashboards personalizados.
Os sinais estão disponíveis nas tabelas do sistema, mas os alertas não. Para view e gerenciar alertas, use a página Alertas na interface do usuário.