SIEM-integration
Hvad der når din SIEM i dag, og hvad der endnu ikke gør.
Clavitor registrerer hver handling med legitimationsoplysninger i et hash-kædet revisionsspor, og du kan eksportere det. Et live-feed til din SIEM, med et pull-endpoint, streaming og standardlogformater, er ikke bygget, selv om dele af designet er besluttet. Siden holder de to adskilt, så du kan vurdere produktet, som det leveres i dag.
I dag
Et rigtigt revisionsspor og en CSV, du selv kan indlæse.
Hver boks fører sin egen revisionslog. Hver hændelse har et tidspunkt, en handling, et udfald (med en årsag, hvor der er en), den post, den berørte, aktøren, kilde-IP'en og sin position i kæden. Du filtrerer loggen efter post, aktør, IP, handling, udfald og datointerval og eksporterer derefter den filtrerede visning.
Felterne
time · action · outcome · reason · entry · actor · ip · seq
Eksporten
En CSV-fil over den visning, du filtrerede, hentet fra revisionssiden i dit vault. Den indeholder op til 500 hændelser pr. eksport; indsnævr filtrene for at nå resten.
At få den ind i et SIEM
Filen er ren CSV, så ethvert SIEM, der indlæser filer, kan tage den. Indlæsningen skal du selv sørge for: der er ingen connector, agent eller planlagt levering fra Clavitor i dag.
Integritet
Bevis, ikke kun en log.
Hver hændelse hashes ind i den foregående, og ét kald går kæden igennem igen og rapporterer, om den er intakt eller brudt, og hvor den brast. Hvert vaults position i kæden sendes også til central, som standard hvert tiende minut, som et vidne uden for boksen; en log, der bliver kortere end sin bevidnede position eller ændrer en bevidnet hash, udløser en alarm til operatøren. Sådan virker kæden og vidnet →
Ikke bygget endnu
SIEM-feedet.
Intet af det følgende findes i produktet i dag. Intet endpoint for det svarer, og intet logformat ud over CSV'en ovenfor kan produceres.
Pull-endpoint og streaming
Et SIEM, der poller et endpoint efter nye hændelser, eller hændelser, der pushes til det, efterhånden som de sker. Begge dele er beskrevet i teksten til vores plan; ingen af dem findes. De står her som ikke bygget, ikke som et løfte.
Standardlogformater
Mapning af revisionsfeedet til OCSF, CEF eller LEEF for dit SIEM. Besluttet som valgfrit output fra lognoden; ikke bygget.
Lognode og MSP-revisionsvisning
En dedikeret lognode, der modtager revisionshændelser fra vaults over den krypterede Noise-kanal, gemmer dem som Clavitors egne poster (aldrig som CEF- eller LEEF-strenge) og serverer en multitenant-revisionsvisning for en MSP's kunder. Besluttet; ikke bygget. Det er besluttet, at brødteksten i revisionshændelser forbliver væk fra central.
Privatlivsreglen
Reglen, som ethvert feed skal overholde.
Hvis den samme person bruger Clavitor til sit eget liv og til sin arbejdsgiver, må arbejdsgiverens SIEM aldrig se den private side, ikke engang et mislykket login på en privat konto. Det er en besluttet, hård regel for ethvert feed: hændelser filtreres efter, hvem der ejer legitimationsoplysningen (privat eller virksomhed), ikke efter, hvem brugeren er, og tenants forbliver isolerede fra hinanden.
I dag holder reglen, fordi intet eksporteres til noget SIEM. Der er endnu intet filter i koden, fordi der ikke er et feed, som det kan vogte. Den bliver til kode sammen med feedet, og den er en betingelse, feedet skal opfylde.
Brug for et SIEM-feed for at købe?
Fortæl os SIEM'et, formatet og hvordan du vil have hændelserne leveret. Vi vil hellere designe det sammen med dig end lade dig opdage en grænse senere.