Watcherで連続データに対する検知をする方法

Elastic In Your Native Tongue 日本語による質問・議論はこちら
2

@t-nakata さん、

Watcher でなくて良いのであれば、最近だと Elastic Security の検知ルールとして実装する方がこの手の検知は簡単に実装できます。

単純に一定時間内におけるログイン失敗回数で判定するなら Threshold、ご質問のように、成功せず失敗の連続を検知したいのであれば EQL が適切かと思います。

同様の質問があったのでご参考にしてください。