BEACON — la difusión de la pista de auditoría

01Transportar la pista de auditoría sin crear una segunda #sec_699483b6

BEACON es el canal de difusión de los eventos de auditoría REVIEWIT hacia las herramientas del cliente: SIEM, almacenamiento de objetos o consumidor de API. No produce la prueba y no posee los eventos. Audit Trail prueba; BEACON transporta.

La pista de auditoría ordenada constituye directamente su registro de difusión. BEACON conserva únicamente los destinos, su posición de lectura y los manifiestos de los lotes entregados. Si su estado debiera ser reconstruido, ningún evento de negocio se perdería: la fuente sigue siendo la pista.

Esta separación protege la base de auditoría de los ciclos de versión propios de Splunk, Sentinel, Elastic u otros conectores. Un nuevo dialecto SIEM se traduce en la periferia; no modifica ni la forma canónica ni la cadena de integridad.

02Un formato canónico, varios destinos #sec_a182be39

Todos los modos de entrega cuentan la misma historia. BEACON emite un sobre canónico, alineado con los estándares de seguridad, que transporta el evento de auditoría en su forma verificable y atributos normalizados fáciles de explotar.

Las adaptaciones hacia CIM, ASIM, ECS, UDM, CEF o LEEF pertenecen a los paquetes conectores. La cadena del servidor conserva así un único contrato versionado y una política de evolución aditiva.

Dos familias de transporte cubren los usos principales:

• el push HTTP, incluyendo los perfiles compatibles con un colector como Splunk HEC;
• el depósito de lotes comprimidos y sus manifiestos en un almacenamiento de objetos del cliente.

El pull expone el mismo sobre, paginado por cursor. Puede servir como modo nominal o de recuperación. Pasar del pull al push no cambia ni el diccionario, ni la herramienta de verificación, ni el sentido de los eventos.

03Ningún agujero silencioso #sec_39c1a83b

La entrega es al menos una vez: después de una incertidumbre de red, un mismo lote puede ser presentado de nuevo. Su identificador determinista y el identificador estable de cada evento permiten al consumidor deduplicarlo.

BEACON nunca salta un evento difícil de entregar. Después de agotar los intentos, el destino se pone en pausa y se levanta un incidente. La reanudación parte del último punto de control confirmado. La caída de un destino no afecta ni a los otros destinos, ni a la escritura de la pista, ni al acto de negocio en el origen del evento.

Si la interrupción supera la ventana caliente de la pista, el destino pasa a un estado explícito de recuperación requerida. Una operación trazada reconstruye entonces el rango desde el archivo antes de reanudar el flujo actual. La ausencia de agujero sigue siendo cierta incluso en el caso degradado; no se basa en la esperanza de que el destino vuelva lo suficientemente rápido.

Un filtro no crea más ruptura. Los eventos fuera del perímetro son reemplazados por hitos mínimos que conservan la continuidad criptográfica sin revelar su contenido. El cliente puede, por lo tanto, limitar los datos recibidos mientras verifica que la secuencia no ha sido amputada.

04Un manifiesto para ejercer la prueba #sec_0b739556

Cada lote va acompañado de un manifiesto que describe su rango de secuencias, sus huellas de entrada y salida, el número de eventos y hitos, así como las reglas de integridad utilizadas. Cuando el rango está cubierto por un sello, su referencia se incluye.

La herramienta de verificación BEACON recalcula la cadena, controla la continuidad entre varios lotes y produce un informe fechado. Anuncia el nivel realmente demostrado: continuidad por encadenamiento, cobertura por un sello, o anclaje externo cuando existe. La presencia de una firma de transporte nunca se presenta como una prueba más fuerte que la pista misma.

El acuse de recibo de un lote, la persistencia de su manifiesto y el avance del punto de control forman una operación coherente. Un reinicio puede provocar una nueva entrega idéntica, nunca un rango declarado entregado sin el manifiesto que lo documenta.

05Residencia y frontera de seguridad #sec_0a77479b

Los trabajadores BEACON se ejecutan en la región de la suscripción y empujan hacia el destino declarado por el cliente. El flujo no transita por una región madre. Cuando la región real de un punto final no puede ser verificada técnicamente, la elección interregional es objeto de un reconocimiento explícito y auditado.

Los transportes utilizan HTTPS, mTLS cuando el destino lo permite, y una firma anti-rejuego por lote. Los secretos de destino se conservan en una caja fuerte, referenciados por la configuración, nunca colocados en claro en los parámetros o los registros.

La gobernanza del canal es ella misma auditada: la creación, modificación, pausa, reanudación y desactivación de un destino se convierten en eventos. El sistema que exporta la pista sigue, por lo tanto, sometido a la pista.

06En resumen #sec_1d392ef5

BEACON entrega la prueba sin duplicarla. Su formato único, sus puntos de control, sus manifiestos y sus hitos garantizan un flujo ordenado, reanudable y verificable hacia las herramientas de seguridad del cliente, sin poner el SIEM en el camino de las operaciones de negocio.