---
title: "SIEM и экспорт аудита"
description: "Что журнал аудита Clavitor даёт SIEM сегодня, что решено, но ещё не построено, и правило конфиденциальности, которое обязан соблюдать любой поток."
lang: ru
url: https://clavitor.ai/ru/siem
markdown: https://clavitor.ai/ru/siem.md
translation_of: https://clavitor.ai/en/siem.md
authoritative: false
publisher: Clavitor LLC
---

> This is the Russian translation of [SIEM and audit export](https://clavitor.ai/en/siem.md). The original English text is authoritative; where the two differ, the English version prevails.

# Интеграция с SIEM: Что сегодня доходит до Вашего SIEM и чего ещё нет.

Clavitor записывает каждое действие с учётными данными в журнал аудита с хеш-цепочкой, и Вы можете его экспортировать. Живой поток в Ваш SIEM — с pull-endpoint, потоковой передачей и стандартными форматами журналов — **не построен**, хотя части его конструкции уже решены. Эта страница разделяет одно и другое, чтобы Вы могли оценить продукт в том виде, в каком он поставляется сегодня.

## Сегодня: Настоящий журнал аудита и CSV, который Вы загружаете сами.

Каждое хранилище ведёт собственный журнал аудита. Каждое событие несёт время, действие, исход (с причиной, где она есть), затронутую запись, субъекта, исходный IP и свою позицию в цепочке. Журнал фильтруется по записи, субъекту, IP, действию, исходу и диапазону дат, затем отфильтрованное представление экспортируется.

### Поля

time · action · outcome · reason · entry · actor · ip · seq

Экспорт содержит ровно эти восемь столбцов, в этом порядке.

### Экспорт

CSV-файл представления, которое Вы отфильтровали, скачанный со страницы аудита Вашего хранилища. В одном экспорте до 500 событий; сузьте фильтры, чтобы добраться до остальных.

### Передача в SIEM

Файл является обычным CSV, поэтому его примет любая SIEM, принимающая файлы. Загрузку организуете Вы: коннектора, агента и доставки по расписанию от Clavitor сегодня нет.

## Целостность: Доказательство, а не просто журнал.

Каждое событие хешируется в предыдущее, и один вызов повторно обходит цепочку и сообщает, цела она или нарушена и где она нарушена. Позиция цепочки каждого хранилища также отправляется в central, по умолчанию каждые десять минут, как свидетель вне узла; журнал, который становится короче своей засвидетельствованной позиции или изменяет засвидетельствованный хеш, вызывает оповещение для оператора. [Как работают цепочка и свидетель →](https://clavitor.ai/ru/audit)

## Ещё не построено: Поток в SIEM.

Ничего из перечисленного ниже в продукте сегодня не существует. Ни одна конечная точка для этого не отвечает, и никакой формат журнала, кроме CSV выше, сформировать нельзя.

### Конечная точка опроса и потоковая передача

SIEM, опрашивающая конечную точку за новыми событиями, или события, передаваемые ей по мере появления. Оба варианта описаны в тексте нашего плана; ни один не существует. Здесь они перечислены как **не построено**, не как обещание.

### Стандартные форматы журналов

Сопоставление потока аудита с OCSF, CEF или LEEF для Вашей SIEM. Решено как необязательный вывод узла журналов; **не построено.**

### Узел журналов и представление аудита для MSP

Выделенный узел журналов, который принимает события аудита от хранилищ по зашифрованному каналу Noise, хранит их как собственные записи Clavitor (никогда не как строки CEF или LEEF) и предоставляет мультитенантное средство просмотра аудита для клиентов MSP. Решено; **не построено.** Тела событий аудита решено оставлять вне central.

## Правило приватности: Правило, которое обязан соблюдать любой поток.

Если один и тот же человек пользуется Clavitor и для личной жизни, и для работодателя, SIEM работодателя никогда не должна видеть личную сторону, даже неудачный вход в личную учётную запись. Это решённое жёсткое правило для любого потока: события фильтруются по тому, кто **владеет учётными данными** (личными или корпоративными), а не по тому, кем является пользователь, и тенанты остаются изолированными друг от друга.

Сегодня правило соблюдается, потому что ни в одну SIEM ничего не экспортируется. Фильтра в коде ещё нет, потому что нет потока, который он охранял бы. Оно станет кодом вместе с потоком и является условием, которое поток обязан выполнить.

## Чтобы купить, нужен поток в SIEM?

Сообщите нам SIEM, формат и то, как Вы хотите, чтобы события доставлялись. Мы предпочли бы спроектировать это вместе с Вами, чем чтобы Вы позже обнаружили ограничение.
[Свяжитесь с нами →](https://clavitor.ai/ru/contact-sales)
[Аудиторский след](https://clavitor.ai/ru/audit)