SIEM-Integration
Was heute bei Ihrem SIEM ankommt, und was noch nicht.
Clavitor zeichnet jede Aktion mit Zugangsdaten in einem über Hashes verketteten Prüfpfad auf, und Sie können ihn exportieren. Ein Live-Feed an Ihr SIEM, mit Pull-Endpunkt, Streaming und Standard-Logformaten, ist nicht gebaut, auch wenn Teile seines Entwurfs entschieden sind. Diese Seite hält beides auseinander, damit Sie das Produkt so beurteilen können, wie es heute ausgeliefert wird.
Heute
Ein echter Prüfpfad, und eine CSV, die Sie selbst laden können.
Jeder Tresor führt sein eigenes Prüfprotokoll. Jedes Ereignis trägt eine Zeit, eine Aktion, ein Ergebnis (mit einem Grund, wo es einen gibt), den berührten Eintrag, den Akteur, die Quell-IP und seine Position in der Kette. Sie filtern das Protokoll nach Eintrag, Akteur, IP, Aktion, Ergebnis und Zeitraum, dann exportieren Sie die gefilterte Ansicht.
Die Felder
time · action · outcome · reason · entry · actor · ip · seq
Der Export
Eine CSV-Datei der gefilterten Ansicht, heruntergeladen von der Audit-Seite Ihres Tresors. Sie enthält bis zu 500 Ereignisse pro Export; engen Sie die Filter ein, um den Rest zu erreichen.
Übernahme in ein SIEM
Die Datei ist reines CSV, daher kann jedes SIEM, das Dateien einliest, sie übernehmen. Das Laden richten Sie selbst ein: Es gibt heute keinen Connector, keinen Agenten und keine geplante Zustellung von Clavitor.
Integrität
Beleg, nicht nur ein Protokoll.
Jedes Ereignis wird in das vorherige gehasht, und ein Aufruf durchläuft die Kette erneut und meldet intakt oder gebrochen sowie die Stelle des Bruchs. Die Kettenposition jedes Tresors wird zudem an die Zentrale gesendet, standardmäßig alle zehn Minuten, als Zeuge außerhalb des Systems; ein Protokoll, das kürzer wird als seine bezeugte Position oder einen bezeugten Hash ändert, löst eine Warnung für den Betreiber aus. So funktionieren Kette und Zeuge →
Noch nicht gebaut
Der SIEM-Feed.
Nichts davon existiert heute im Produkt. Kein Endpunkt dafür antwortet, und außer dem oben genannten CSV lässt sich kein anderes Protokollformat erzeugen.
Abruf-Endpunkt und Streaming
Ein SIEM, das einen Endpunkt nach neuen Ereignissen abfragt, oder Ereignisse, die ihm beim Entstehen zugestellt werden. Beides steht in unseren Plantexten; keines davon existiert. Sie sind hier als nicht gebaut aufgeführt, nicht als Zusage.
Standard-Protokollformate
Abbildung des Audit-Feeds auf OCSF, CEF oder LEEF für Ihr SIEM. Als optionale Ausgabe des Protokollknotens entschieden; nicht gebaut.
Protokollknoten und MSP-Audit-Ansicht
Ein eigener Protokollknoten, der Audit-Ereignisse von den Tresoren über den verschlüsselten Noise-Kanal empfängt, sie als native Clavitor-Datensätze hält (nie als CEF- oder LEEF-Zeichenketten) und einen mandantenfähigen Audit-Viewer für die Kunden eines MSP bereitstellt. Entschieden; nicht gebaut. Die Inhalte der Audit-Ereignisse bleiben entschieden außerhalb der Zentrale.
Die Datenschutzregel
Die Regel, die jeder Feed einhalten muss.
Nutzt dieselbe Person Clavitor für das eigene Leben und für den Arbeitgeber, darf das SIEM des Arbeitgebers die private Seite niemals sehen, nicht einmal eine fehlgeschlagene Anmeldung auf einem privaten Konto. Das ist eine entschiedene, harte Regel für jeden Feed: Ereignisse werden danach gefiltert, wem die Anmeldedaten gehören (privat oder Unternehmen), nicht danach, wer die Person ist, und Mandanten bleiben voneinander isoliert.
Heute gilt die Regel, weil nichts an ein SIEM exportiert wird. Im Code gibt es noch keinen Filter, weil es keinen Feed gibt, den er schützen könnte. Er wird mit dem Feed zu Code, und er ist eine Bedingung, die der Feed erfüllen muss.
Brauchen Sie einen SIEM-Feed, um zu kaufen?
Nennen Sie uns das SIEM, das Format und wie die Ereignisse zugestellt werden sollen. Lieber entwerfen wir das mit Ihnen, als dass Sie später an eine Grenze stoßen.