SIEM-integrasjon
Hva som når SIEM-en din i dag, og hva som ikke gjør det ennå.
Clavitor registrerer hver legitimasjonshandling i et hash-lenket revisjonsspor, og du kan eksportere det. En direkte feed til SIEM-en din, med et pull-endepunkt, strømming og standard loggformater, er ikke bygget, selv om deler av utformingen er besluttet. Denne siden holder de to atskilt, slik at du kan vurdere produktet slik det leveres i dag.
I dag
Et ekte revisjonsspor, og en CSV du kan laste inn selv.
Hvert hvelv har sin egen revisjonslogg. Hver hendelse har et tidspunkt, en handling, et utfall (med en grunn der det finnes en), oppføringen den berørte, aktøren, kilde-IP-en og posisjonen sin i kjeden. Du filtrerer loggen på oppføring, aktør, IP, handling, utfall og datointervall, og eksporterer deretter den filtrerte visningen.
Feltene
time · action · outcome · reason · entry · actor · ip · seq
Eksporten
En CSV-fil av visningen du filtrerte, lastet ned fra revisjonssiden i hvelvet ditt. Den inneholder opptil 500 hendelser per eksport; snevre inn filtrene for å nå resten.
Å få den inn i et SIEM
Filen er ren CSV, så ethvert SIEM som inntar filer, kan ta imot den. Innlastingen ordner du selv: det finnes ingen kobling, agent eller planlagt levering fra Clavitor i dag.
Integritet
Bevis, ikke bare en logg.
Hver hendelse hashes inn i den forrige, og ett kall går gjennom kjeden på nytt og rapporterer intakt eller brutt, og hvor den brast. Hvert hvelvs kjedeposisjon sendes også til sentral, som standard hvert tiende minutt, som et vitne utenfor boksen; en logg som blir kortere enn sin bevitnede posisjon, eller endrer en bevitnet hash, utløser et operatørvarsel. Hvordan kjeden og vitnet fungerer →
Ikke bygget ennå
SIEM-feeden.
Ingen av det følgende finnes i produktet i dag. Ingen endepunkt for det svarer, og det kan ikke produseres noe loggformat annet enn CSV-en ovenfor.
Pull-endepunkt og strømming
Et SIEM som poller et endepunkt etter nye hendelser, eller hendelser som pushes til det etter hvert som de skjer. Begge er beskrevet i teksten i planen vår; ingen av dem finnes. De er oppført her som ikke bygget, ikke som et løfte.
Standard loggformater
Tilordning av revisjonsfeeden til OCSF, CEF eller LEEF for SIEM-et ditt. Besluttet som valgfri utdata fra loggnoden; ikke bygget.
Loggnod og MSP-revisjonsvisning
En dedikert loggnod som mottar revisjonshendelser fra hvelvene over den krypterte Noise-kanalen, beholder dem som egne Clavitor-poster (aldri som CEF- eller LEEF-strenger), og serverer en flerleietaker-revisjonsviser for kundene til en MSP. Besluttet; ikke bygget. Innholdet i revisjonshendelsene er besluttet å bli værende utenfor sentral.
Personvernregelen
Regelen enhver feed må overholde.
Hvis samme person bruker Clavitor for sitt eget liv og for arbeidsgiveren, må arbeidsgiverens SIEM aldri se den personlige siden, ikke engang en mislykket innlogging på en personlig konto. Dette er en besluttet, hard regel for enhver feed: hendelser filtreres etter hvem som eier legitimasjonen (personlig eller virksomhet), ikke etter hvem brukeren er, og leietakere forblir isolert fra hverandre.
I dag holder regelen fordi ingenting eksporteres til noe SIEM. Det finnes ikke noe filter i koden ennå, fordi det ikke finnes en feed det kan vokte. Den blir kode med feeden, og den er et vilkår feeden må oppfylle.
Trenger du en SIEM-feed for å kjøpe?
Fortell oss SIEM-et, formatet og hvordan du vil ha hendelsene levert. Vi vil heller utforme det sammen med deg enn at du oppdager en grense senere.