การผสานรวม SIEM
สิ่งที่ถึง SIEM ของคุณวันนี้ และสิ่งที่ยังไม่ถึง.
Clavitor บันทึกทุกการกระทำกับ credential ไว้ใน audit trail ที่ต่อเชนด้วยแฮช และคุณส่งออกได้. ฟีดสดไปยัง SIEM ของคุณ ที่มี pull endpoint, การสตรีม และรูปแบบล็อกมาตรฐาน ยังไม่ได้สร้าง แม้บางส่วนของการออกแบบจะตัดสินใจแล้ว. หน้านี้แยกสองเรื่องนี้ออกจากกัน เพื่อให้คุณตัดสินผลิตภัณฑ์ตามที่ส่งมอบวันนี้ครับ.
วันนี้
audit trail จริง และ CSV ที่คุณโหลดเองได้.
vault แต่ละอันเก็บ audit log ของตัวเอง. ทุกเหตุการณ์มีเวลา, การกระทำ, ผลลัพธ์ (พร้อมเหตุผลถ้ามี), รายการที่ถูกแตะ, ผู้กระทำ, IP ต้นทาง และตำแหน่งในเชน. คุณกรองบันทึกตามรายการ, ผู้กระทำ, IP, การกระทำ, ผลลัพธ์ และช่วงวันที่ แล้วส่งออกมุมมองที่กรองแล้วครับ.
ฟิลด์
time · action · outcome · reason · entry · actor · ip · seq
การส่งออก
ไฟล์ CSV ของมุมมองที่คุณกรองไว้ ดาวน์โหลดจากหน้า audit ของ vault ของคุณ. เก็บได้ไม่เกิน 500 เหตุการณ์ต่อการส่งออกหนึ่งครั้ง จำกัดตัวกรองให้แคบลง จึงจะถึงส่วนที่เหลือครับ
การนำไฟล์เข้า SIEM
ไฟล์เป็น CSV ธรรมดา ดังนั้น SIEM ใดที่ ingest ไฟล์ได้ก็รับไฟล์นี้ได้. การโหลดเป็นเรื่องที่คุณต้องจัดการเอง: วันนี้ยังไม่มีคอนเน็กเตอร์ เอเจนต์ หรือการส่งตามกำหนดเวลาจาก Clavitor ครับ
ความสมบูรณ์
หลักฐาน ไม่ใช่แค่ล็อก.
ทุกเหตุการณ์ถูกแฮชผูกกับเหตุการณ์ก่อนหน้า และการเรียกหนึ่งครั้งจะเดินตรวจเชนใหม่แล้วรายงานว่าสมบูรณ์หรือขาด และขาดตรงไหน. ตำแหน่งเชนของแต่ละ vault ถูกส่งไปที่ central ด้วย โดยค่าเริ่มต้นทุกสิบนาที เพื่อเป็นพยานนอกเครื่อง. ถ้าล็อกสั้นกว่าตำแหน่งที่พยานรับรองไว้ หรือแฮชที่พยานรับรองไว้ถูกเปลี่ยน จะมีการแจ้งเตือนผู้ดูแล เชนและพยานทำงานอย่างไร →
ยังไม่ได้สร้าง
ฟีด SIEM.
สิ่งต่อไปนี้ยังไม่มีในผลิตภัณฑ์วันนี้. ไม่มีเอนด์พอยต์สำหรับสิ่งเหล่านี้ที่ตอบกลับ และผลิตรูปแบบล็อกอื่นนอกจาก CSV ด้านบนไม่ได้
เอนด์พอยต์แบบ pull และการสตรีม
การโพลเอนด์พอยต์โดย SIEM เพื่อขอเหตุการณ์ใหม่ หรือการพุชเหตุการณ์ไปให้ทันทีที่เกิดขึ้น. ทั้งสองอย่างถูกเขียนไว้ในข้อความแผนของเราแล้ว แต่ยังไม่มีอยู่จริง. ระบุไว้ที่นี่ว่า ยังไม่ได้สร้าง ไม่ใช่คำสัญญา
รูปแบบล็อกมาตรฐาน
การแมปฟีด audit ไปเป็น OCSF, CEF หรือ LEEF สำหรับ SIEM ของคุณ. ตัดสินแล้วว่าเป็นเอาต์พุตทางเลือกของ log node; ยังไม่ได้สร้าง.
log node และมุมมอง audit สำหรับ MSP
log node แยกเฉพาะที่รับเหตุการณ์ audit จาก vault ต่าง ๆ ผ่านช่องทางเข้ารหัส Noise เก็บเป็นเรคคอร์ดในรูปแบบของ Clavitor เอง (ไม่เก็บเป็นสตริง CEF หรือ LEEF) และให้บริการมุมมอง audit แบบหลายเทแนนนต์สำหรับลูกค้าของ MSP. ตัดสินแล้ว; ยังไม่ได้สร้าง. เนื้อความเหตุการณ์ audit ตัดสินแล้วว่าจะไม่อยู่บน central
กฎความเป็นส่วนตัว
กฎที่ฟีดใด ๆ ต้องรักษาไว้.
ถ้าคนเดียวกันใช้ Clavitor ทั้งในชีวิตส่วนตัวและในงานของนายจ้าง SIEM ของนายจ้างต้องไม่เห็นด้านส่วนตัวเด็ดขาด แม้แต่การเข้าสู่ระบบที่ล้มเหลวบนบัญชีส่วนตัว. นี่เป็นกฎตายตัวที่ตัดสินแล้วสำหรับทุกฟีด: เหตุการณ์ถูกกรองตามผู้ที่ เป็นเจ้าของข้อมูลรับรอง (ส่วนตัวหรือองค์กร) ไม่ใช่ตามว่าผู้ใช้เป็นใคร และเทแนนนต์แยกจากกัน
วันนี้กฎนี้ยังเป็นจริงอยู่ เพราะยังไม่มีการส่งออกไปยัง SIEM ใด. ในโค้ดยังไม่มีตัวกรอง เพราะยังไม่มีฟีดให้เฝ้า. กฎนี้จะกลายเป็นโค้ดไปพร้อมกับฟีด และเป็นเงื่อนไขที่ฟีดต้องผ่าน
ต้องการฟีด SIEM ก่อนซื้อหรือครับ?
บอกเราได้ครับว่าเป็น SIEM ใด รูปแบบใด และต้องการให้ส่งเหตุการณ์อย่างไร. เราอยากออกแบบร่วมกับคุณ มากกว่าให้คุณมาพบข้อจำกัดในภายหลังครับ