SIEM統合
現在SIEMに届くものと、まだ届かないものです。
Clavitorは、すべての資格情報操作をハッシュチェーンの監査証跡に記録し、それをエクスポートできます。プルエンドポイント、ストリーミング、標準ログ形式を備えたSIEMへのライブフィードは、未構築です。ただし、設計の一部は決定済みです。このページは両者を分けて示します。本日出荷されている製品を、そのまま判断できるようにするためです。
今日
実際の監査証跡と、ご自身で読み込めるCSVです。
各保管庫は独自の監査ログを保持します。すべてのイベントには、時刻、操作、結果（理由がある場合はその理由）、対象となったエントリ、実行者、送信元IP、チェーン上の位置が含まれます。エントリ、実行者、IP、操作、結果、日付範囲でログを絞り込み、絞り込んだビューをエクスポートします。
フィールド
time · action · outcome · reason · entry · actor · ip · seq
エクスポート
お使いのボルトの監査ページからダウンロードする、フィルターしたビューの CSV ファイルです。1 回のエクスポートには最大 500 件のイベントが含まれます。残りに届くには、フィルターを絞ってください。
SIEM への取り込み
ファイルはプレーンな CSV なので、ファイルを取り込める SIEM であれば受け取れます。読み込みの手配は利用者側で行います。現時点の Clavitor には、コネクターも、エージェントも、定期配信もありません。
完全性
証拠であり、単なるログではありません。
各イベントは直前のイベントにハッシュとして組み込まれ、1 回の呼び出しでチェーンをたどり直し、無傷か破損か、どこで壊れたかを報告します。各ボルトのチェーン位置は、既定では 10 分ごとに、ボルト外の証人として中央へも送られます。ログが証人の記録した位置より短くなるか、証人の記録したハッシュが変わると、運用者向けアラートが上がります。チェーンと証人がどう機能するか →
まだ実装されていません
SIEM フィード。
以下のものは、いずれも現時点の製品に存在しません。それらに応答するエンドポイントはなく、上記の CSV 以外のログ形式は生成できません。
プルのエンドポイントとストリーミング
SIEM がエンドポイントをポーリングして新しいイベントを取得する方式、またはイベントが発生するたびに SIEM へプッシュされる方式です。どちらも計画の文面に書いてありますが、どちらも存在しません。ここに挙げているのは 未実装 としてであり、約束としてではありません。
標準ログ形式
監査フィードを、お使いの SIEM 向けに OCSF、CEF、LEEF へマッピングすることです。ログノードの任意の出力として決定済みです。未実装。
ログノードと MSP の監査ビュー
各ボルトから暗号化された Noise チャネル経由で監査イベントを受け取り、Clavitor 本来のレコードとして保持し（CEF や LEEF の文字列としては決して保持せず）、MSP の顧客向けにマルチテナントの監査ビューアを提供する専用のログノードです。決定済みです。未実装。 監査イベントの本文は、中央には置かないと決定しています。
プライバシーのルール
どのフィードも守らなければならないルールです。
同一の人物が私生活と雇用主の両方で Clavitor を使う場合、雇用主の SIEM は、個人アカウントでのログイン失敗も含め、個人側を決して見てはなりません。これはどのフィードにも共通する決定済みの厳格なルールで、イベントは利用者が誰かではなく誰が資格情報を所有するか（個人か企業か）によってフィルターされ、テナントは互いに分離されたままです。
現時点でこのルールが成り立っているのは、どの SIEM へも何もエクスポートされていないからです。守るべきフィードがまだないため、コードにはまだフィルターがありません。このルールはフィードと一緒にコードになり、フィードが満たすべき条件です。
購入に SIEM フィードは必要ですか。
SIEM、形式、イベントの配信方法をお知らせください。後から制約に気づくより、一緒に設計したいと考えています。