SIEM-integratie
Wat vandaag je SIEM bereikt, en wat nog niet.
Clavitor legt elke credential-handeling vast in een hash-geketende audittrail, en je kunt die exporteren. Een live feed naar je SIEM, met een pull-endpoint, streaming en standaard logformaten, is niet gebouwd, hoewel over delen van het ontwerp al is besloten. Deze pagina houdt die twee uit elkaar, zodat je het product kunt beoordelen zoals het vandaag wordt geleverd.
Vandaag
Een echte audittrail, en een CSV die je zelf kunt laden.
Elke kluis houdt een eigen auditlog bij. Elke gebeurtenis bevat een tijdstip, een actie, een uitkomst (met een reden als die er is), het item dat de gebeurtenis raakte, de actor, het bron-IP en de positie in de keten. Je filtert de log op item, actor, IP, actie, uitkomst en datumbereik, en exporteert daarna de gefilterde weergave.
De velden
time · action · outcome · reason · entry · actor · ip · seq
De export
Een CSV-bestand van de weergave die je hebt gefilterd, gedownload vanaf de auditpagina van jouw kluis. Het bevat maximaal 500 gebeurtenissen per export; versmal de filters om de rest te bereiken.
Het in een SIEM krijgen
Het bestand is platte CSV, dus elke SIEM die bestanden inneemt kan het opnemen. Het laden regel je zelf: er is vandaag geen connector, agent of geplande levering vanuit Clavitor.
Integriteit
Bewijs, niet alleen een log.
Elke gebeurtenis wordt gehasht in de vorige, en één aanroep loopt de keten opnieuw na en meldt intact of gebroken, en waar hij brak. De ketenpositie van elke kluis wordt ook naar central gestuurd, standaard elke tien minuten, als getuige buiten de box; een log die korter wordt dan zijn getuigde positie, of een getuigde hash wijzigt, geeft een operator-alert. Hoe de keten en de getuige werken →
Nog niet gebouwd
De SIEM-feed.
Niets van het volgende bestaat vandaag in het product. Geen endpoint ervoor antwoordt, en geen ander logformaat dan de CSV hierboven kan worden geproduceerd.
Pull-endpoint en streaming
Een SIEM die een endpoint polt op nieuwe gebeurtenissen, of gebeurtenissen die ernaartoe worden gepusht zodra ze plaatsvinden. Beide zijn beschreven in onze plancopy; geen van beide bestaat. Ze staan hier als niet gebouwd, niet als een belofte.
Standaard logformaten
Mapping van de auditfeed naar OCSF, CEF of LEEF voor jouw SIEM. Besloten als optionele output van de log node; niet gebouwd.
Log node en MSP-auditweergave
Een dedicated log node die auditgebeurtenissen van de kluizen ontvangt over het versleutelde Noise-kanaal, ze bewaart als native Clavitor-records (nooit als CEF- of LEEF-strings), en een multi-tenant auditviewer serveert voor de klanten van een MSP. Besloten; niet gebouwd. Auditgebeurtenis-bodies blijven besloten buiten central.
De privacyregel
De regel die elke feed moet houden.
Als dezelfde persoon Clavitor gebruikt voor het eigen leven en voor de werkgever, mag de SIEM van de werkgever de persoonlijke kant nooit zien, zelfs geen mislukte login op een persoonlijk account. Dit is een besloten, harde regel voor elke feed: gebeurtenissen worden gefilterd op wie de credential bezit (persoonlijk of enterprise), niet op wie de gebruiker is, en tenants blijven van elkaar geïsoleerd.
Vandaag houdt de regel stand omdat er niets naar een SIEM wordt geëxporteerd. Er zit nog geen filter in de code, omdat er geen feed is die hij moet bewaken. Het wordt code samen met de feed, en het is een voorwaarde waaraan de feed moet voldoen.
Een SIEM-feed nodig om te kopen?
Vertel ons de SIEM, het formaat en hoe je de gebeurtenissen geleverd wilt hebben. We ontwerpen het liever met je dan dat je later een limiet ontdekt.