BEACON — la diffusione della pista di audit

01Trasporto della pista di audit senza crearne una seconda #sec_699483b6

BEACON è il canale di diffusione degli eventi di audit REVIEWIT verso gli strumenti del cliente: SIEM, archiviazione oggetti o consumatore di API. Non produce la prova e non possiede gli eventi. Audit Trail dimostra; BEACON trasporta.

La pista di audit ordinata costituisce direttamente il suo registro di diffusione. BEACON conserva solo le destinazioni, la loro posizione di lettura e i manifesti dei lotti consegnati. Se il suo stato dovesse essere ricostruito, nessun evento aziendale sarebbe perso: la fonte rimane la pista.

Questa separazione protegge il nucleo di audit dai cicli di versione propri di Splunk, Sentinel, Elastic o di altri connettori. Un nuovo dialetto SIEM si traduce in periferia; non modifica né la forma canonica né la catena di integrità.

02Un formato canonico, diverse destinazioni #sec_a182be39

Tutte le modalità di consegna raccontano la stessa storia. BEACON emette una busta canonica, allineata agli standard di sicurezza, che trasporta l'evento di audit nella sua forma verificabile e attributi normalizzati facili da sfruttare.

Gli adattamenti verso CIM, ASIM, ECS, UDM, CEF o LEEF appartengono ai pacchetti connettori. La catena del server conserva così un unico contratto versionato e una politica di evoluzione additiva.

Due famiglie di trasporto coprono gli usi principali:

• il push HTTP, inclusi i profili compatibili con un collettore come Splunk HEC;
• il deposito di lotti compressi e dei loro manifesti in un archivio oggetti del cliente.

Il pull espone la stessa busta, paginata per cursore. Può servire come modalità nominale o di recupero. Passare dal pull al push non cambia né il dizionario, né lo strumento di verifica, né il senso degli eventi.

03Nessun buco silenzioso #sec_39c1a83b

La consegna è almeno una volta: dopo un'incertezza di rete, lo stesso lotto può essere presentato di nuovo. Il suo identificativo deterministico e l'identificativo stabile di ogni evento permettono al consumatore di deduplicarlo.

BEACON non salta mai un evento difficile da consegnare. Dopo l'esaurimento dei tentativi, la destinazione viene messa in pausa e viene generato un incidente. La ripresa parte dall'ultimo checkpoint confermato. Il guasto di una destinazione non influisce né sulle altre destinazioni, né sulla scrittura della pista, né sull'atto aziendale all'origine dell'evento.

Se l'interruzione supera la finestra calda della pista, la destinazione passa in uno stato esplicito di recupero richiesto. Un'operazione tracciata ricostituisce quindi l'intervallo dall'archivio prima di riprendere il flusso corrente. L'assenza di buchi rimane vera anche nel caso degradato; non si basa sulla speranza che la destinazione torni abbastanza velocemente.

Un filtro non crea ulteriori interruzioni. Gli eventi fuori perimetro sono sostituiti da pietre miliari minime che mantengono la continuità crittografica senza rivelare il loro contenuto. Il cliente può quindi limitare i dati ricevuti pur verificando che la sequenza non sia stata amputata.

04Un manifesto per esercitare la prova #sec_0b739556

Ogni lotto è accompagnato da un manifesto che descrive il suo intervallo di sequenze, le sue impronte di ingresso e di uscita, il numero di eventi e di pietre miliari, nonché le regole di integrità utilizzate. Quando l'intervallo è coperto da un sigillo, il suo riferimento è incluso.

Lo strumento di verifica BEACON ricalcola la catena, controlla la continuità tra più lotti e produce un rapporto datato. Annuncia il livello realmente dimostrato: continuità tramite catena, copertura tramite sigillo o ancoraggio esterno quando esiste. La presenza di una firma di trasporto non è mai presentata come una prova più forte della pista stessa.

Il riconoscimento di un lotto, la persistenza del suo manifesto e l'avanzamento del checkpoint formano un'operazione coerente. Un riavvio può provocare una nuova consegna identica, mai un intervallo dichiarato consegnato senza il manifesto che lo documenta.

05Residenza e confine di sicurezza #sec_0a77479b

I worker BEACON si eseguono nella regione della sottoscrizione e spingono verso la destinazione dichiarata dal cliente. Il flusso non passa attraverso una regione madre. Quando la regione reale di un endpoint non può essere verificata tecnicamente, la scelta interregionale è oggetto di un riconoscimento esplicito e auditato.

I trasporti utilizzano HTTPS, mTLS quando la destinazione lo consente e una firma anti-riproduzione per lotto. I segreti di destinazione sono conservati in un caveau, referenziati dalla configurazione, mai inseriti in chiaro nei parametri o nei registri.

La governance del canale è essa stessa auditata: creazione, modifica, pausa, ripresa e disattivazione di una destinazione diventano eventi. Il sistema che esporta la pista rimane quindi soggetto alla pista.

06In sintesi #sec_1d392ef5

BEACON consegna la prova senza duplicarla. Il suo formato unico, i suoi checkpoint, i suoi manifesti e le sue pietre miliari garantiscono un flusso ordinato, ripristinabile e verificabile verso gli strumenti di sicurezza del cliente, senza mettere il SIEM sul percorso delle operazioni aziendali.