Intégration SIEM
Ce qui atteint votre SIEM aujourd'hui, et ce qui ne l'atteint pas encore.
Clavitor enregistre chaque action sur un identifiant dans une piste d'audit chaînée par hachage, et vous pouvez l'exporter. Un flux en direct vers votre SIEM, avec un point de terminaison d'extraction, une diffusion en continu et des formats de journaux standard, n'est pas construit, bien que des parties de sa conception soient décidées. Cette page tient les deux à part, afin que vous puissiez juger le produit tel qu'il est livré aujourd'hui.
Aujourd'hui
Une véritable piste d'audit, et un CSV que vous pouvez charger vous-même.
Chaque coffre conserve son propre journal d'audit. Chaque événement porte une heure, une action, un résultat (avec une raison lorsqu'il y en a une), l'entrée qu'il a touchée, l'acteur, l'IP source et sa position dans la chaîne. Vous filtrez le journal par entrée, acteur, IP, action, résultat et plage de dates, puis vous exportez la vue filtrée.
Les champs
time · action · outcome · reason · entry · actor · ip · seq
L'export
Un fichier CSV de la vue que vous avez filtrée, téléchargé depuis la page d'audit de votre coffre. Il contient jusqu'à 500 événements par exportation ; resserrez les filtres pour atteindre le reste.
L'importer dans un SIEM
Le fichier est un CSV brut, donc tout SIEM qui ingère des fichiers peut l'accepter. Le chargement est à votre charge : il n'existe aujourd'hui ni connecteur, ni agent, ni livraison planifiée depuis Clavitor.
Intégrité
Une preuve, pas seulement un journal.
Chaque événement est haché dans celui qui le précède, et un seul appel reparcourt la chaîne et indique si elle est intacte ou rompue, et où elle s'est rompue. La position de la chaîne de chaque coffre est aussi envoyée à central, par défaut toutes les dix minutes, comme témoin hors machine ; un journal qui devient plus court que sa position attestée, ou qui change un hachage attesté, déclenche une alerte opérateur. Comment fonctionnent la chaîne et le témoin →
Pas encore construit
Le flux SIEM.
Rien de ce qui suit n'existe dans le produit aujourd'hui. Aucun point de terminaison n'y répond, et aucun format de journal autre que le CSV ci-dessus ne peut être produit.
Point de terminaison en pull et streaming
Un SIEM qui interroge un point de terminaison pour les nouveaux événements, ou des événements poussés vers lui à mesure qu'ils se produisent. Les deux ont été décrits dans le texte de notre plan ; aucun des deux n'existe. Ils figurent ici comme pas construit, non comme une promesse.
Formats de journal standard
Correspondance du flux d'audit vers OCSF, CEF ou LEEF pour votre SIEM. Décidée comme sortie optionnelle du nœud de journaux ; pas construit.
Nœud de journaux et vue d'audit MSP
Un nœud de journaux dédié qui reçoit les événements d'audit des coffres via le canal Noise chiffré, les conserve comme des enregistrements natifs Clavitor (jamais comme des chaînes de caractères CEF ou LEEF), et sert une visionneuse d'audit multi-locataire pour les clients d'un MSP. Décidé ; pas construit. Il est décidé que les corps des événements d'audit restent hors de central.
La règle de confidentialité
La règle que tout flux doit respecter.
Si la même personne utilise Clavitor pour sa vie personnelle et pour son employeur, le SIEM de l'employeur ne doit jamais voir le côté personnel, pas même un échec de connexion sur un compte personnel. C'est une règle stricte et décidée pour tout flux : les événements sont filtrés selon qui détient l'identifiant (personnel ou entreprise), non selon qui est l'utilisateur, et les locataires restent isolés les uns des autres.
Aujourd'hui, la règle tient parce que rien n'est exporté vers un SIEM, quel qu'il soit. Il n'y a pas encore de filtre dans le code, parce qu'il n'y a pas de flux à garder. Elle devient du code avec le flux, et c'est une condition que le flux doit remplir.
Besoin d'un flux SIEM pour acheter ?
Dites-nous le SIEM, le format et comment vous voulez que les événements soient livrés. Nous préférons le concevoir avec vous plutôt que de vous laisser découvrir une limite plus tard.