SIEM-integration
Vad som når ditt SIEM idag, och vad som ännu inte gör det.
Clavitor registrerar varje åtgärd på autentiseringsuppgifter i ett hashkedjat auditspår, och du kan exportera det. Ett liveflöde till ditt SIEM, med en pull-endpoint, streaming och standardloggformat, är inte byggt, även om delar av designen är beslutade. Den här sidan håller de två isär, så att du kan bedöma produkten som den levereras idag.
Idag
Ett riktigt auditspår, och en CSV du kan läsa in själv.
Varje valv har sin egen auditlogg. Varje händelse bär en tid, en åtgärd, ett utfall (med en orsak där det finns en), posten den rörde, aktören, käll-IP:n och sin position i kedjan. Du filtrerar loggen på post, aktör, IP, åtgärd, utfall och datumintervall, och exporterar sedan den filtrerade vyn.
Fälten
time · action · outcome · reason · entry · actor · ip · seq
Exporten
En CSV-fil av den vy du filtrerade, hämtad från granskningssidan i ditt valv. Den rymmer upp till 500 händelser per export; snäva in filtren för att nå resten.
Få in den i ett SIEM
Filen är vanlig CSV, så varje SIEM som tar emot filer kan ta den. Inläsningen ordnar du själv: det finns ingen koppling, agent eller schemalagd leverans från Clavitor idag.
Integritet
Bevis, inte bara en logg.
Varje händelse hashas in i den föregående, och ett anrop går igenom kedjan på nytt och rapporterar intakt eller bruten, och var den bröts. Varje valvs kedjeposition skickas också till central, som standard var tionde minut, som ett vittne utanför lådan; en logg som blir kortare än sin bevittnade position, eller ändrar en bevittnad hash, ger en operatörsvarning. Så fungerar kedjan och vittnet →
Inte byggt ännu
SIEM-flödet.
Inget av följande finns i produkten idag. Ingen ändpunkt för det svarar, och inget loggformat utöver CSV:n ovan kan tas fram.
Hämtningsändpunkt och strömning
Ett SIEM som pollar en ändpunkt efter nya händelser, eller händelser som skickas dit när de sker. Båda har beskrivits i vår plantext; ingetdera finns. De står här som inte byggt, inte som ett löfte.
Standardloggformat
Mappning av granskningsflödet till OCSF, CEF eller LEEF för ditt SIEM. Beslutat som valfri utdata från loggnoden; inte byggt.
Loggnod och MSP-granskningsvy
En dedikerad loggnod som tar emot granskningshändelser från valven över den krypterade Noise-kanalen, behåller dem som inbyggda Clavitor-poster (aldrig som CEF- eller LEEF-strängar) och serverar en granskningsvisare för flera klienter åt en MSP:s kunder. Beslutat; inte byggt. Granskningshändelsernas innehåll är beslutat att stanna utanför central.
Integritetsregeln
Regeln som varje flöde måste hålla.
Om samma person använder Clavitor för sitt eget liv och för sin arbetsgivare får arbetsgivarens SIEM aldrig se den privata sidan, inte ens en misslyckad inloggning på ett privat konto. Det är en beslutad, hård regel för varje flöde: händelser filtreras efter vem som äger uppgiften (privat eller företag), inte efter vem användaren är, och klienter hålls isolerade från varandra.
Idag håller regeln eftersom inget exporteras till något SIEM. Det finns inget filter i koden ännu, eftersom det inte finns något flöde för det att vakta. Det blir kod tillsammans med flödet, och det är ett villkor flödet måste uppfylla.
Behöver du ett SIEM-flöde för att köpa?
Säg vilket SIEM, vilket format och hur du vill att händelserna levereras. Vi utformar det hellre tillsammans med dig än att du upptäcker en gräns senare.