Integrazione SIEM
Che cosa raggiunge oggi il Suo SIEM, e che cosa ancora no.
Clavitor registra ogni azione sulle credenziali in una traccia di audit a catena di hash, e Lei può esportarla. Un feed in tempo reale verso il Suo SIEM, con un endpoint di pull, streaming e formati di log standard, non è realizzato, anche se parti del suo progetto sono decise. Questa pagina tiene separate le due cose, così può giudicare il prodotto nello stato in cui viene rilasciato oggi.
Oggi
Una traccia di audit reale, e un CSV che può caricare da sé.
Ogni vault mantiene il proprio log di audit. Ogni evento riporta un orario, un'azione, un esito (con un motivo, quando c'è), la voce toccata, l'attore, l'IP di origine e la propria posizione nella catena. Filtri il log per voce, attore, IP, azione, esito e intervallo di date, quindi esporti la vista filtrata.
I campi
time · action · outcome · reason · entry · actor · ip · seq
L'esportazione
Un file CSV della vista che ha filtrato, scaricato dalla pagina di audit del Suo vault. Contiene fino a 500 eventi per esportazione; restringa i filtri per raggiungere il resto.
Portarlo in un SIEM
Il file è CSV puro, quindi qualsiasi SIEM che acquisisce file può accettarlo. Il caricamento va organizzato da Lei: oggi Clavitor non fornisce né un connettore, né un agente, né una consegna pianificata.
Integrità
Evidenza, non solo un log.
Ogni evento viene legato tramite hash a quello precedente, e una chiamata ripercorre la catena e segnala se è integra o rotta, e dove si è rotta. La posizione della catena di ogni vault viene anche inviata a central, di default ogni dieci minuti, come testimone off-box; un log che diventa più corto della posizione testimoniata, o modifica un hash testimoniato, genera un alert per l'operatore. Come funzionano la catena e il testimone →
Non ancora realizzato
Il feed SIEM.
Nessuno dei seguenti esiste oggi nel prodotto. Nessun endpoint per questo risponde, e non si può produrre alcun formato di log diverso dal CSV sopra.
Endpoint di pull e streaming
Un SIEM che fa polling di un endpoint per i nuovi eventi, oppure eventi che gli vengono inviati man mano che si verificano. Entrambi sono stati descritti nei testi del nostro piano; nessuno dei due esiste. Sono elencati qui come non realizzato, non come una promessa.
Formati di log standard
Mappatura del feed di audit verso OCSF, CEF o LEEF per il Suo SIEM. Deciso come output opzionale del nodo di log; non realizzato.
Nodo di log e vista di audit per MSP
Un nodo di log dedicato che riceve gli eventi di audit dai vault attraverso il canale Noise cifrato, li conserva come record nativi Clavitor (mai come stringhe CEF o LEEF) ed espone un visualizzatore di audit multi-tenant per i clienti di un MSP. Deciso; non realizzato. Per decisione, i corpi degli eventi di audit restano fuori da central.
La regola sulla privacy
La regola che ogni feed deve rispettare.
Se la stessa persona usa Clavitor per la propria vita e per il proprio datore di lavoro, il SIEM del datore di lavoro non deve mai vedere il lato personale, nemmeno un login fallito su un account personale. È una regola decisa e ferrea per ogni feed: gli eventi sono filtrati in base a chi possiede la credenziale (personale o enterprise), non in base a chi è l'utente, e i tenant restano isolati tra loro.
Oggi la regola vale perché nulla viene esportato verso alcun SIEM. Non c'è ancora un filtro nel codice, perché non c'è un feed da vigilare. La regola diventa codice con il feed, ed è una condizione che il feed deve soddisfare.
Le serve un feed SIEM per acquistare?
Ci dica il SIEM, il formato e come vuole che gli eventi vengano consegnati. Preferiamo progettarlo con Lei piuttosto che farLe scoprire un limite più avanti.