Diffondere la traccia di controllo al tuo SIEM

01In una frase #sec_b2947bf1

BEACON consegna la traccia di controllo in ordine, per catena, firmata, al tuo SIEM o al tuo archivio — e un taglio di conservazione arriva come un taglio firmato, mai come un buco.

02Dove #sec_5f11263a

Impostazioni › Integrazioni & IA › BEACON. La diffusione è inclusa nell'edizione Unlimited; altrove, su richiesta, a discrezione dell'editore. La schermata lo indica se è il tuo caso.

Coesistono due percorsi, e la schermata li presenta insieme: il push — ciò che questa pagina configura — e il pull verificabile: il tuo SIEM può anche leggere la traccia da sé, catena per catena, con gli stessi anelli e manifesti del push. Il pull passa attraverso un client API con lo scope di lettura di controllo.

03Prima di creare: l'identità fresca #sec_018aa8e8

Creare una destinazione è un atto sensibile: l'intera traccia di controllo della souscription partirà verso un terzo. La schermata richiede quindi un'autenticazione forte di meno di dieci minuti — Conferma la tua identità. Sarai reindirizzato al tuo annuario, poi riportato qui. Se fallisce, la causa è quasi sempre nei parametri di assicurazione del tuo fornitore di identità.

04Nuova destinazione #sec_69919eb6

L'assistente procede per passaggi.

Nome e trasporto. I trasporti noti portano ciascuno la propria attesa, scritta sul campo URL: un collector Splunk ( https://host:port , o l'URL che termina con /services/collector ), un flusso Elastic ( l'URL _bulk completo di un flusso di dati o di un indice ), una regola di raccolta Sentinel ( l'URL di ingest completo di una regola di raccolta ), o un compartimento di archiviazione oggetto.

Le credenziali della destinazione. Differiscono per trasporto, e l'assistente dice ogni volta cosa mantiene e cosa non mantiene:

• Sentinel: l'identificatore dell'annuario e quello dell'applicazione — *non sono

segreti — poi il certificato con la sua chiave privata. Il file e la password vivono solo il tempo di questo gesto: la chiave è sigillata, mai conservata in chiaro.*

• Archiviazione oggetto: l'account proprietario del compartimento — *ogni scrittura lo richiede: un

nome di bucket ripreso da un terzo rifiuterà la traccia — e una chiave di accesso. Concedi solo il diritto di scrittura sul prefisso beacon/ di questo bucket. Le chiavi sono verificate da una scrittura di sonda prima di essere mantenute.*

La geografia. L'assistente osserva dove risiede la destinazione e la confronta con l'hosting della tua souscription. Se gli eventi ne usciranno, è richiesta una giustificazione: gli eventi lasceranno la geografia della souscription: questo riconoscimento è tracciato nella traccia di controllo.

La partenza. Dall'inizio di ogni catena (storia completa), o dall'attivazione (solo ciò che segue). Per un SIEM che deve poter verificare, prendi la storia.

Il filtro. Facoltativo: un codice di azione per riga, o un prefisso terminato da un punto e una stella — vuoto = flusso completo. Leggi l'avvertimento prima di impostarne uno: un filtro sostituisce gli eventi scartati con dei punti di riferimento: la prova sigillata si ferma al primo punto di riferimento; oltre, il verificatore controlla solo il chaining. Un filtro compra volume in meno contro prova in meno.

Crea. Per Sentinel, la destinazione nasce in bozza: attivala dal suo pannello una volta concesso il ruolo sulla regola di raccolta. Per gli altri, Attiva alla creazione è proposto.

05Leggere l'elenco #sec_75146433

Ogni destinazione porta la sua destinazione, il suo stato — Attivo, In pausa dopo errori, In pausa (manuale), Disattivato, Bozza —, il suo ritardo ( In sincronia, o N min, N h, N g ) e il suo margine prima del taglio: N% rimanenti.

Il margine è il numero da monitorare. La conservazione della souscription finisce per tagliare gli eventi più antichi; una destinazione in ritardo di più di questo margine riceverà un taglio firmato dove si aspettava eventi. Mai un buco, ma una mancanza accertata. Una destinazione in pausa dopo errori che invecchia si avvicina a questo punto.

06Cosa riceve il SIEM #sec_28ee06bd

Eventi consegnati in ordine, per catena, firmati, con i manifesti che consentono di verificare il chaining fuori da REVIEWIT. La pagina BEACON dei Concetti descrive il formato, e lo strumento di verifica pubblico ciò che controlla. A livello di workspace, la postura di controllo mostra le destinazioni attive: queste destinazioni ricevono l'intera traccia di controllo della souscription, questo workspace incluso.

07Il ritmo #sec_8b53d5d6

08Da ricordare #sec_448d6cb0

Una nuova identità, un trasporto, identificatori testati e poi sigillati, una geografia dichiarata. Il flusso completo è l'unica configurazione che conserva l'intera prova; un filtro lo dice, un ritardo si legge, un taglio si firma.