Интеграция с SIEM
Что сегодня доходит до Вашего SIEM и чего ещё нет.
Clavitor записывает каждое действие с учётными данными в журнал аудита с хеш-цепочкой, и Вы можете его экспортировать. Живой поток в Ваш SIEM — с pull-endpoint, потоковой передачей и стандартными форматами журналов — не построен, хотя части его конструкции уже решены. Эта страница разделяет одно и другое, чтобы Вы могли оценить продукт в том виде, в каком он поставляется сегодня.
Сегодня
Настоящий журнал аудита и CSV, который Вы загружаете сами.
Каждое хранилище ведёт собственный журнал аудита. Каждое событие несёт время, действие, исход (с причиной, где она есть), затронутую запись, субъекта, исходный IP и свою позицию в цепочке. Журнал фильтруется по записи, субъекту, IP, действию, исходу и диапазону дат, затем отфильтрованное представление экспортируется.
Поля
time · action · outcome · reason · entry · actor · ip · seq
Экспорт
CSV-файл представления, которое Вы отфильтровали, скачанный со страницы аудита Вашего хранилища. В одном экспорте до 500 событий; сузьте фильтры, чтобы добраться до остальных.
Передача в SIEM
Файл является обычным CSV, поэтому его примет любая SIEM, принимающая файлы. Загрузку организуете Вы: коннектора, агента и доставки по расписанию от Clavitor сегодня нет.
Целостность
Доказательство, а не просто журнал.
Каждое событие хешируется в предыдущее, и один вызов повторно обходит цепочку и сообщает, цела она или нарушена и где она нарушена. Позиция цепочки каждого хранилища также отправляется в central, по умолчанию каждые десять минут, как свидетель вне узла; журнал, который становится короче своей засвидетельствованной позиции или изменяет засвидетельствованный хеш, вызывает оповещение для оператора. Как работают цепочка и свидетель →
Ещё не построено
Поток в SIEM.
Ничего из перечисленного ниже в продукте сегодня не существует. Ни одна конечная точка для этого не отвечает, и никакой формат журнала, кроме CSV выше, сформировать нельзя.
Конечная точка опроса и потоковая передача
SIEM, опрашивающая конечную точку за новыми событиями, или события, передаваемые ей по мере появления. Оба варианта описаны в тексте нашего плана; ни один не существует. Здесь они перечислены как не построено, не как обещание.
Стандартные форматы журналов
Сопоставление потока аудита с OCSF, CEF или LEEF для Вашей SIEM. Решено как необязательный вывод узла журналов; не построено.
Узел журналов и представление аудита для MSP
Выделенный узел журналов, который принимает события аудита от хранилищ по зашифрованному каналу Noise, хранит их как собственные записи Clavitor (никогда не как строки CEF или LEEF) и предоставляет мультитенантное средство просмотра аудита для клиентов MSP. Решено; не построено. Тела событий аудита решено оставлять вне central.
Правило приватности
Правило, которое обязан соблюдать любой поток.
Если один и тот же человек пользуется Clavitor и для личной жизни, и для работодателя, SIEM работодателя никогда не должна видеть личную сторону, даже неудачный вход в личную учётную запись. Это решённое жёсткое правило для любого потока: события фильтруются по тому, кто владеет учётными данными (личными или корпоративными), а не по тому, кем является пользователь, и тенанты остаются изолированными друг от друга.
Сегодня правило соблюдается, потому что ни в одну SIEM ничего не экспортируется. Фильтра в коде ещё нет, потому что нет потока, который он охранял бы. Оно станет кодом вместе с потоком и является условием, которое поток обязан выполнить.
Чтобы купить, нужен поток в SIEM?
Сообщите нам SIEM, формат и то, как Вы хотите, чтобы события доставлялись. Мы предпочли бы спроектировать это вместе с Вами, чем чтобы Вы позже обнаружили ограничение.