Difundir la pista de auditoría a su SIEM

01En una frase #sec_b2947bf1

BEACON entrega la pista de auditoría en orden, por cadena, firmada, a su SIEM o su almacenamiento — y un corte de retención llega como un corte firmado, nunca como un agujero.

02Dónde #sec_5f11263a

Parámetros › Integraciones & IA › BEACON. La difusión está incluida en la edición Unlimited; en otros casos, bajo solicitud, a discreción del editor. La pantalla lo indica si es su caso.

Coexisten dos caminos, y la pantalla los presenta juntos: el push — lo que esta página configura — y el pull verificable: su SIEM también puede leer la pista por sí mismo, cadena por cadena, con los mismos eslabones y manifiestos que el push. El pull pasa por un cliente API con el ámbito de lectura de auditoría.

03Antes de crear: la identidad fresca #sec_018aa8e8

Crear un destino es un acto sensible: toda la pista de auditoría de la suscripción partirá hacia un tercero. Por lo tanto, la pantalla exige una autenticación fuerte de menos de diez minutos — Confirme su identidad. Será redirigido a su directorio y luego regresará aquí. Si falla, la causa está casi siempre en los parámetros de aseguramiento de su proveedor de identidad.

04Nuevo destino #sec_69919eb6

El asistente avanza por pasos.

Nombre y transporte. Los transportes conocidos llevan cada uno su expectativa, escrita en el campo URL: un recolector Splunk (https://host:port, o la URL que termina en /services/collector), un flujo Elastic (la URL _bulk completa de un flujo de datos o un índice), una regla de recolección Sentinel (la URL de ingestión completa de una regla de recolección), o un compartimento de almacenamiento de objetos.

Las credenciales del destino. Difieren por transporte, y el asistente dice cada vez qué conserva y qué no:

• Sentinel: el identificador del directorio y el de la aplicación — *estos no son*

secretos — luego el certificado con su clave privada. El archivo y la contraseña solo viven el tiempo de este gesto: la clave está sellada, nunca conservada en claro.*

• Almacenamiento de objetos: la cuenta propietaria del compartimento — *cada escritura lo exige: un*

nombre de bucket capturado por un tercero rechazará la pista — y una clave de acceso. Otorgue solo el derecho de escribir en el prefijo beacon/ de este bucket. Las claves se prueban con una escritura de sondeo antes de ser retenidas.*

La geografía. El asistente observa dónde vive el destino y lo compara con la alojamiento de su suscripción. Si los eventos van a salir de ella, se exige una justificación: los eventos saldrán de la geografía de la suscripción: este reconocimiento está trazado en la pista de auditoría.

El inicio. Desde el principio de cada cadena (historial completo), o desde la activación (solo lo que sigue). Para un SIEM que deba poder verificar, tome el historial.

El filtro. Opcional: un código de acción por línea, o un prefijo terminado por un punto y una estrella — vacío = flujo completo. Lea el aviso antes de establecerlo: un filtro reemplaza los eventos descartados por hitos: la prueba sellada se detiene en el primer hito; más allá, el verificador solo verifica el encadenamiento. Un filtro compra menos volumen a cambio de menos prueba.

Crear. Para Sentinel, el destino nace como borrador: actívelo desde su panel una vez que se haya otorgado el rol en la regla de recolección. Para los demás, se propone Activar desde la creación.

05Leer la lista #sec_75146433

Cada destino lleva su objetivo, su estado — Activo, En pausa tras fallos, En pausa (manual), Desactivado, Borrador —, su retraso (Al día, o N min, N h, N d) y su margen antes del corte: N% restantes.

El margen es el número a vigilar. La retención de la suscripción termina cortando los eventos más antiguos; un destino retrasado más que este margen recibirá un corte firmado donde esperaba eventos. Nunca un agujero, pero una falta evidente. Un destino en pausa tras fallos que envejece se acerca a este punto.

06Lo que recibe el SIEM #sec_28ee06bd

Eventos entregados en orden, por cadena, firmados, con los manifiestos que permiten verificar el encadenamiento fuera de REVIEWIT. La página BEACON de Conceptos describe el formato, y la herramienta de verificación pública lo que controla. En el lado del workspace, la postura de auditoría muestra los destinos activos: estos destinos reciben toda la pista de auditoría de la suscripción, este workspace incluido.

07El ritmo #sec_8b53d5d6

08Para recordar #sec_448d6cb0

Una identidad fresca, un transporte, identificadores probados y luego sellados, una geografía asumida. El flujo completo es la única configuración que conserva toda la prueba; un filtro lo dice, un retraso se lee, un corte se firma.