---
title: "SIEM 与审计导出"
description: "Clavitor 的审计跟踪今天提供给 SIEM 的内容、已经决定但尚未建成的内容，以及任何馈送都必须遵守的隐私规则。"
lang: zh
url: https://clavitor.ai/zh/siem
markdown: https://clavitor.ai/zh/siem.md
translation_of: https://clavitor.ai/en/siem.md
authoritative: false
publisher: Clavitor LLC
---

> This is the Chinese translation of [SIEM and audit export](https://clavitor.ai/en/siem.md). The original English text is authoritative; where the two differ, the English version prevails.

# SIEM 集成: 今天能到达您的 SIEM 的内容，以及尚未到达的内容。

Clavitor 将每一次凭证操作记录在哈希成链的审计跟踪中，您可以将其导出。通向您的 SIEM 的实时馈送（含拉取端点、流式传输和标准日志格式）**尚未建成**，尽管其设计的一部分已经决定。本页将二者分开，以便您按今天实际交付的产品来判断。

## 今天: 真实的审计跟踪，以及一份您可以自行加载的 CSV。

每个保险库保存自己的审计日志。每条事件包含时间、操作、结果（若有原因则附上）、所触及的条目、操作者、源 IP，以及它在链中的位置。您按条目、操作者、IP、操作、结果和日期范围筛选日志，然后导出筛选后的视图。

### 字段

time · action · outcome · reason · entry · actor · ip · seq

导出恰好包含这八列，顺序如下。

### 导出

从保险库审计页面下载的、经您筛选后的视图的 CSV 文件。每次导出最多包含 500 条事件；收窄筛选条件以获取其余事件。

### 导入 SIEM

该文件为纯 CSV，因此任何能接收文件的 SIEM 均可接入。加载方式由您自行安排：目前 Clavitor 不提供连接器、代理或定时投递。

## 完整性: 是证据，而不仅是日志。

每条事件都哈希链入前一条，一次调用即可重走整条链，并报告完好或已断裂，以及断裂位置。每个保险库的链位置默认每十分钟发送至中心，作为库外见证；日志短于其已见证位置，或已见证哈希发生变化，都会触发运维告警。[链与见证如何工作 →](https://clavitor.ai/zh/audit)

## 尚未实现: SIEM 馈送。

以下各项在当前产品中均不存在。没有端点会对其作出响应，除上述 CSV 外也无法生成其他日志格式。

### 拉取端点与流式传输

由 SIEM 轮询端点以获取新事件，或在事件发生时推送给 SIEM。两者都曾出现在我们的规划文案中；均未实现。此处列为**尚未实现**，而非承诺。

### 标准日志格式

将审计馈送映射为 OCSF、CEF 或 LEEF，供您的 SIEM 使用。已决定作为日志节点的可选输出；**尚未实现。**

### 日志节点与 MSP 审计视图

专用日志节点经加密的 Noise 通道接收各保险库的审计事件，以 Clavitor 原生记录保存（从不以 CEF 或 LEEF 字符串保存），并为 MSP 的客户提供多租户审计查看器。已决定；**尚未实现。** 审计事件正文已决定不进入中心。

## 隐私规则: 任何馈送都必须遵守的规则。

若同一人既将 Clavitor 用于个人生活，也用于雇主，则雇主的 SIEM 绝不能看到个人一侧，即使是个人账户上一次失败的登录也不行。这对任何馈送都是已决定的硬性规则：事件按**凭证归属**（个人或企业）筛选，而不是按使用者是谁，且租户彼此隔离。

目前该规则之所以成立，是因为没有任何内容导出到任何 SIEM。代码中尚无筛选器，因为还没有需要它守护的馈送。它将随馈送一并成为代码，并且是馈送必须满足的条件。

## 购买前需要 SIEM 馈送？

请告知我们 SIEM、格式，以及您希望如何投递事件。我们更愿意与您一起设计，而不是让您事后才发现限制。
[联系我们 →](https://clavitor.ai/zh/contact-sales)
[审计追踪](https://clavitor.ai/zh/audit)