Tích hợp SIEM
Những gì tới SIEM của bạn hôm nay, và những gì chưa tới.
Clavitor ghi mọi hành động credential vào một nhật ký audit dạng chuỗi băm, và bạn có thể xuất nó. Một feed trực tiếp tới SIEM của bạn, với endpoint kéo, streaming và các định dạng log chuẩn, chưa được xây, dù một số phần thiết kế đã được quyết. Trang này giữ hai việc tách riêng, để bạn đánh giá sản phẩm đúng như nó đang phát hành hôm nay.
Hôm nay
Một nhật ký audit thật, và một CSV bạn tự nạp được.
Mỗi vault giữ nhật ký audit riêng. Mọi sự kiện mang một thời điểm, một hành động, một kết quả (kèm lý do khi có), mục nó chạm tới, actor, IP nguồn, và vị trí của nó trong chuỗi. Bạn lọc nhật ký theo mục, actor, IP, hành động, kết quả và khoảng ngày, rồi xuất khung nhìn đã lọc.
Các trường
time · action · outcome · reason · entry · actor · ip · seq
Bản xuất
Một tệp CSV của khung nhìn mà bạn đã lọc, được tải xuống từ trang kiểm toán của kho của bạn. Tệp chứa tối đa 500 sự kiện mỗi lần xuất; thu hẹp bộ lọc để lấy phần còn lại.
Đưa vào SIEM
Tệp là CSV thuần, nên SIEM nào nạp được tệp thì nhận được tệp này. Việc nạp do bạn tự thu xếp: hiện Clavitor không có connector, agent hay việc gửi theo lịch.
Tính toàn vẹn
Bằng chứng, không chỉ là một nhật ký.
Mỗi sự kiện được băm vào sự kiện liền trước nó, và một lần gọi sẽ duyệt lại chuỗi rồi báo còn nguyên hay đã đứt, và đứt ở đâu. Vị trí chuỗi của mỗi kho cũng được gửi tới central, mặc định mỗi mười phút, như một nhân chứng nằm ngoài máy; nhật ký nào trở nên ngắn hơn vị trí đã được chứng kiến, hoặc thay đổi một hash đã được chứng kiến, sẽ phát cảnh báo tới người vận hành. Cách chuỗi và nhân chứng hoạt động →
Chưa được xây dựng
Nguồn cấp SIEM.
Không có mục nào dưới đây tồn tại trong sản phẩm hiện nay. Không có endpoint nào trả lời cho việc này, và không thể tạo ra định dạng nhật ký nào khác ngoài CSV ở trên.
Endpoint kéo và truyền dòng
Một SIEM thăm dò một endpoint để lấy sự kiện mới, hoặc sự kiện được đẩy tới ngay khi chúng xảy ra. Cả hai đã được mô tả trong bản kế hoạch của chúng tôi; không cái nào tồn tại. Chúng được liệt kê ở đây là chưa được xây dựng, chứ không phải một lời hứa.
Các định dạng nhật ký chuẩn
Ánh xạ nguồn cấp kiểm toán sang OCSF, CEF hoặc LEEF cho SIEM của bạn. Đã quyết định là đầu ra tuỳ chọn của nút nhật ký; chưa được xây dựng.
Nút nhật ký và khung xem kiểm toán MSP
Một nút nhật ký chuyên dụng nhận sự kiện kiểm toán từ các kho qua kênh Noise được mã hoá, giữ chúng dưới dạng bản ghi gốc của Clavitor (không bao giờ dưới dạng chuỗi CEF hay LEEF), và phục vụ một trình xem kiểm toán đa tenant cho khách hàng của MSP. Đã quyết định; chưa được xây dựng. Phần thân sự kiện kiểm toán được quyết định giữ ngoài central.
Quy tắc quyền riêng tư
Quy tắc mà mọi nguồn cấp phải giữ.
Nếu cùng một người dùng Clavitor cho đời sống riêng của mình và cho bên sử dụng lao động, SIEM của bên sử dụng lao động không bao giờ được thấy phía cá nhân, kể cả một lần đăng nhập thất bại trên tài khoản cá nhân. Đây là một quy tắc cứng đã được quyết định cho mọi nguồn cấp: sự kiện được lọc theo ai sở hữu thông tin xác thực (cá nhân hoặc doanh nghiệp), không theo người dùng là ai, và các tenant cô lập với nhau.
Hiện nay quy tắc vẫn đúng vì chưa có gì được xuất sang SIEM nào. Trong mã chưa có bộ lọc, vì chưa có nguồn cấp nào để nó canh giữ. Quy tắc đi vào mã cùng với nguồn cấp, và là điều kiện mà nguồn cấp phải đáp ứng.
Cần nguồn cấp SIEM để mua?
Cho chúng tôi biết SIEM, định dạng và cách bạn muốn sự kiện được gửi đến. Chúng tôi thà thiết kế cùng bạn còn hơn để bạn phát hiện một giới hạn sau này.