SIEM 통합
오늘 SIEM에 도달하는 것과, 아직 도달하지 않는 것.
Clavitor는 모든 자격 증명 동작을 해시 체인으로 이어진 감사 추적에 기록하고, 이것을 내보낼 수 있어요. pull 엔드포인트, 스트리밍, 표준 로그 형식을 갖춘 SIEM 실시간 피드는 만들어지지 않았어요. 다만 설계의 일부는 결정돼 있어요. 이 페이지는 둘을 구분해서, 오늘 제공되는 제품 그대로 판단할 수 있게 해요.
오늘
실제 감사 추적, 그리고 직접 불러올 수 있는 CSV.
각 볼트는 자체 감사 로그를 유지해요. 모든 이벤트는 시각, 동작, 결과(이유가 있으면 그 이유), 대상 항목, 행위자, 소스 IP, 체인에서의 위치를 담아요. 항목, 행위자, IP, 동작, 결과, 날짜 범위로 로그를 거른 다음, 걸러낸 보기를 내보내요.
필드
time · action · outcome · reason · entry · actor · ip · seq
내보내기
필터링한 보기를 볼트 감사 페이지에서 내려받은 CSV 파일이에요. 내보내기당 최대 500건의 이벤트가 들어 있고, 나머지는 필터를 좁혀야 받을 수 있어요.
SIEM에 넣기
파일은 일반 CSV라서, 파일을 수집하는 SIEM이라면 받을 수 있어요. 적재는 직접 마련해야 해요. 현재 Clavitor에는 커넥터, 에이전트, 예약 전송이 없어요.
무결성
단순한 로그가 아니라 증거예요.
모든 이벤트는 바로 앞 이벤트의 해시에 이어 해시돼요. 호출 한 번으로 체인을 다시 따라가서, 온전한지 깨졌는지와 깨진 지점을 알려 줘요. 각 볼트의 체인 위치도 기본적으로 10분마다 중앙으로 전송되어 볼트 밖 증인 역할을 해요. 로그가 증인에 기록된 위치보다 짧아지거나 증인에 기록된 해시가 바뀌면 운영자 알림이 발생해요. 체인과 증인이 동작하는 방식 →
아직 만들지 않았어요
SIEM 피드예요.
아래에 나오는 것은 현재 제품에 하나도 없어요. 이에 대한 엔드포인트는 응답하지 않고, 위의 CSV 외의 로그 형식은 만들 수 없어요.
풀 엔드포인트와 스트리밍
SIEM이 엔드포인트를 폴링해 새 이벤트를 가져오거나, 이벤트가 발생하는 대로 SIEM으로 푸시되는 방식이에요. 둘 다 계획 문안에는 적혀 있지만 어느 쪽도 없어요. 여기에는 약속이 아니라 만들지 않음으로 적어 두었어요.
표준 로그 형식
감사 피드를 SIEM용 OCSF, CEF 또는 LEEF로 매핑하는 일이에요. 로그 노드의 선택적 출력으로 결정되어 있으며, 만들지 않음.
로그 노드와 MSP 감사 보기
암호화된 Noise 채널로 볼트들의 감사 이벤트를 받아 Clavitor 자체 레코드로 보관하고(CEF나 LEEF 문자열로는 보관하지 않아요), MSP 고객을 위한 멀티테넌트 감사 뷰어를 제공하는 전용 로그 노드예요. 결정되어 있으며, 만들지 않음. 감사 이벤트 본문은 중앙에 두지 않기로 결정되어 있어요.
프라이버시 규칙
어떤 피드든 지켜야 하는 규칙이에요.
같은 사람이 개인 생활과 회사 업무 모두에 Clavitor를 쓰면, 회사의 SIEM은 개인 쪽을 절대 보면 안 돼요. 개인 계정의 로그인 실패조차 보면 안 돼요. 이것은 어떤 피드에든 적용되는, 결정된 엄격한 규칙이에요. 이벤트는 사용자가 누구인지가 아니라 자격 증명을 소유한 주체(개인 또는 기업)를 기준으로 필터링되고, 테넌트는 서로 격리돼요.
지금은 어떤 SIEM으로도 내보내지 않기 때문에 규칙이 지켜져요. 지킬 피드가 아직 없어서 코드에도 필터가 없어요. 규칙은 피드와 함께 코드가 되고, 피드가 충족해야 하는 조건이에요.
구매하려면 SIEM 피드가 필요한가요?
어떤 SIEM인지, 형식은 무엇인지, 이벤트를 어떻게 전달받고 싶은지 알려 주세요. 나중에 한계를 발견하기보다 함께 설계하고 싶어요.