Інтеграція з SIEM
Що сьогодні доходить до Вашого SIEM, і що ще ні.
Clavitor записує кожну дію з обліковими даними в аудиторський слід, зчеплений хешами, і Ви можете його експортувати. Живий канал до Вашого SIEM, з кінцевою точкою витягування, потоковою передачею та стандартними форматами журналів, не побудований, хоча частини його конструкції вже вирішені. Ця сторінка розділяє одне й друге, щоб Ви могли оцінити продукт таким, яким він постачається сьогодні.
Сьогодні
Справжній аудиторський слід і CSV, який Ви можете завантажити самі.
Кожне сховище веде власний журнал аудиту. Кожна подія містить час, дію, результат (з причиною, якщо вона є), запис, якого вона стосується, виконавця, IP-адресу джерела і її позицію в ланцюжку. Ви фільтруєте журнал за записом, виконавцем, IP, дією, результатом і діапазоном дат, а потім експортуєте відфільтроване подання.
Поля
time · action · outcome · reason · entry · actor · ip · seq
Експорт
CSV-файл подання, яке Ви відфільтрували, завантажений зі сторінки аудиту Вашого сховища. Він містить до 500 подій на один експорт; звузьте фільтри, щоб отримати решту.
Завантаження в SIEM
Файл — звичайний CSV, тож будь-яка SIEM, що приймає файли, може його прийняти. Завантаження організовуєте Ви: сьогодні з боку Clavitor немає конектора, агента чи доставки за розкладом.
Цілісність
Доказ, а не просто журнал.
Кожну подію хешують разом із попередньою, і один виклик повторно проходить ланцюг і повідомляє, цілий він чи розірваний, і де він розірвався. Позицію ланцюга кожного сховища також надсилають до central, за замовчуванням кожні десять хвилин, як свідка поза сховищем; журнал, який стає коротшим за свою засвідчену позицію, або змінює засвідчений хеш, створює сповіщення для оператора. Як працюють ланцюг і свідок →
Ще не реалізовано
Канал SIEM.
Нічого з наведеного нижче сьогодні в продукті немає. Жодна кінцева точка для цього не відповідає, і жоден формат журналу, окрім наведеного вище CSV, сформувати не можна.
Кінцева точка опитування та потокове передавання
SIEM, що опитує кінцеву точку щодо нових подій, або події, які надсилають до неї в момент виникнення. Обидва описано в тексті нашого плану; жодного не існує. Тут їх наведено як не реалізовано, не як обіцянку.
Стандартні формати журналів
Зіставлення каналу аудиту з OCSF, CEF або LEEF для Вашої SIEM. Ухвалено як необов'язковий вихід вузла журналів; не реалізовано.
Вузол журналів і подання аудиту для MSP
Виділений вузол журналів, який приймає події аудиту зі сховищ через зашифрований канал Noise, зберігає їх як власні записи Clavitor (ніколи не як рядки CEF або LEEF) і надає багатоклієнтський переглядач аудиту для клієнтів MSP. Ухвалено; не реалізовано. Тіла подій аудиту ухвалено залишати поза central.
Правило приватності
Правило, якого має дотримуватися будь-який канал.
Якщо та сама особа користується Clavitor і для власного життя, і для роботодавця, SIEM роботодавця ніколи не повинна бачити особисте, навіть невдалий вхід до особистого облікового запису. Це ухвалене жорстке правило для будь-якого каналу: події фільтрують за тим, хто володіє обліковими даними (особистими чи корпоративними), а не за тим, ким є користувач, і клієнти залишаються ізольованими один від одного.
Сьогодні правило справджується, бо до жодної SIEM нічого не експортується. У коді ще немає фільтра, бо немає каналу, який він мав би захищати. Воно стане кодом разом із каналом, і це умова, яку канал має виконати.
Потрібен канал SIEM, щоб купити?
Повідомте нам SIEM, формат і те, як Ви хочете, щоб події доставлялися. Ми воліли б спроєктувати це разом із Вами, ніж щоб Ви пізніше виявили обмеження.