# Watcherで連続データに対する検知をする方法

**URL:** <https://discuss.elastic.co/t/watcher/282482>\
**Category:** 日本語による質問・議論はこちら\
**Created:** [August 25, 2021, 11:12am UTC](https://discuss.elastic.co/t/watcher/282482 "2021-08-25T11:12:06Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![t-nakata](https://avatars.discourse-cdn.com/v4/letter/t/8491ac/32.png) [@t-nakata](https://discuss.elastic.co/u/t-nakata)\
**Post date:** [August 25, 2021, 11:12am UTC](https://discuss.elastic.co/t/watcher/282482/1 "2021-08-25T11:12:06Z")

</div>

認証ログなどで、特定アカウントでログイン認証が連続で3回失敗した場合にアラートを発報するという仕組みをwatcherで実装したいです。

例) 発報する場合  
UserA OK  
UserB NG  
UserC OK  
UserB NG  
UserB NG  
→発報あり(UserBは3回連続して失敗しているため)

例)発報なし  
UserA OK  
UserB NG  
UserC OK  
UserB NG  
UserB OK  
UserB NG  
→発報なし(UserBは3回失敗しているが、連続ではないため)

例)発報なし  
UserA OK  
UserB NG  
UserC NG  
UserB NG  
UserB OK  
UserB OK  
→発報なし(NGは3回連続だが、ユーザーが異なるため)

Wathcerでこのような条件は実装可能でしょうか？Watcherに閉じなくとも、Ingestノードを使用すれば出来るというのでも良いです。  
ご教示頂けないでしょうか。

---

<div class="post-metadata">

**Author:** ![Koji\_Kawamura](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/koji_kawamura/32/93938_2.png) [@Koji\_Kawamura](https://discuss.elastic.co/u/Koji_Kawamura)\
**Post date:** [September 1, 2021, 1:50am UTC](https://discuss.elastic.co/t/watcher/282482/2 "2021-09-01T01:50:15Z")

</div>

@t-nakata さん、

Watcher でなくて良いのであれば、最近だと Elastic Security の検知ルールとして実装する方がこの手の検知は簡単に実装できます。

単純に一定時間内におけるログイン失敗回数で判定するなら Threshold、ご質問のように、成功せず失敗の連続を検知したいのであれば EQL が適切かと思います。

> **[Example: Detect threats with EQL | Elasticsearch Guide \[7.14\] | Elastic](https://www.elastic.co/guide/en/elasticsearch/reference/7.14/eql-ex-threat-detection.html)**

同様の質問があったのでご参考にしてください。

> [@Signal - multiple login failure from same user](https://discuss.elastic.co/t/signal-multiple-login-failure-from-same-user/255517/2):
>
> Hi, You could use a threshold rule: Hopefully the image works. Query = event.code:4625 and field is user.name Can also use EQL in 7.10 (my rule is filtering is looking more for remote login failures rather than monday morning people forgetting how to use a keyboard pre coffee) sequence by source.ip with maxspan=300s [authentication where event.action:"logon-failed" and source.ip != "127.0.0.1" and source.ip != null] by user.name [ authentication where event.action:"…

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [September 29, 2021, 1:50am UTC](https://discuss.elastic.co/t/watcher/282482/3 "2021-09-29T01:50:33Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.