Integração SIEM
O que chega hoje ao seu SIEM, e o que ainda não chega.
A Clavitor regista cada ação de credencial num rasto de auditoria encadeado por hash, e pode exportá-lo. Um feed em tempo real para o seu SIEM, com um endpoint de pull, streaming e formatos de log padrão, não está construído, embora partes da sua conceção estejam decididas. Esta página mantém as duas em separado, para que possa julgar o produto tal como é entregue hoje.
Hoje
Um rasto de auditoria real, e um CSV que você mesmo pode carregar.
Cada cofre mantém o seu próprio registo de auditoria. Cada evento traz uma hora, uma ação, um resultado (com um motivo quando existe um), a entrada em que tocou, o ator, o IP de origem e a sua posição na cadeia. Você filtra o registo por entrada, ator, IP, ação, resultado e intervalo de datas, e depois exporta a vista filtrada.
Os campos
time · action · outcome · reason · entry · actor · ip · seq
A exportação
Um ficheiro CSV da vista que você filtrou, descarregado da página de auditoria do seu cofre. Contém até 500 eventos por exportação; estreite os filtros para chegar ao resto.
Como o colocar num SIEM
O ficheiro é CSV simples, pelo que qualquer SIEM que ingira ficheiros pode aceitá-lo. O carregamento fica a seu cargo: hoje não existe conector, agente nem entrega agendada a partir do Clavitor.
Integridade
Prova, não apenas um registo.
Cada evento é incluído por hash no anterior, e uma chamada volta a percorrer a cadeia e indica se está intacta ou quebrada, e onde quebrou. A posição da cadeia de cada cofre é também enviada para o central, por predefinição a cada dez minutos, como testemunha fora da caixa; um registo que fica mais curto do que a sua posição testemunhada, ou altera um hash testemunhado, gera um alerta ao operador. Como funcionam a cadeia e a testemunha →
Ainda não construído
O feed SIEM.
Nada do que se segue existe no produto, hoje. Nenhum endpoint para isso responde, e nenhum formato de registo além do CSV acima pode ser produzido.
Endpoint de pull e streaming
Um SIEM a fazer polling a um endpoint à procura de eventos novos, ou eventos enviados para ele à medida que acontecem. Ambos foram descritos no texto do nosso plano; nenhum existe. Estão listados aqui como não construído, não como uma promessa.
Formatos de registo padrão
Mapeamento do feed de auditoria para OCSF, CEF ou LEEF para o seu SIEM. Decidido como saída opcional do nó de registo; não construído.
Nó de registo e vista de auditoria MSP
Um nó de registo dedicado que recebe eventos de auditoria dos cofres pelo canal Noise encriptado, guarda-os como registos nativos do Clavitor (nunca como strings CEF ou LEEF) e serve um visualizador de auditoria multi-inquilino para os clientes de um MSP. Decidido; não construído. Os corpos dos eventos de auditoria ficam, por decisão, fora do central.
A regra de privacidade
A regra que qualquer feed tem de manter.
Se a mesma pessoa usa o Clavitor para a sua própria vida e para o seu empregador, o SIEM do empregador nunca pode ver o lado pessoal, nem sequer um início de sessão falhado numa conta pessoal. Esta é uma regra decidida e rígida para qualquer feed: os eventos são filtrados por quem detém a credencial (pessoal ou empresarial), não por quem é o utilizador, e os inquilinos permanecem isolados entre si.
Hoje a regra mantém-se porque nada é exportado para nenhum SIEM. Ainda não há filtro no código, porque não há feed para ele proteger. Ela passa a código com o feed, e é uma condição que o feed tem de cumprir.
Precisa de um feed SIEM para comprar?
Diga-nos o SIEM, o formato e como quer que os eventos sejam entregues. Preferimos desenhá-lo com você a que descubra um limite mais tarde.
Fale connosco ->](/contact-sales)