BEACON — a difusão da pista de auditoria

01Transportar a pista de auditoria sem criar uma segunda #sec_699483b6

BEACON é o canal de difusão dos eventos de auditoria REVIEWIT para as ferramentas do cliente: SIEM, armazenamento de objetos ou consumidor de API. Não produz a prova e não possui os eventos. Audit Trail prova; BEACON transporta.

A pista de auditoria ordenada constitui diretamente seu jornal de difusão. BEACON conserva apenas os destinos, sua posição de leitura e os manifestos dos lotes entregues. Se seu estado dever ser reconstruído, nenhum evento de negócio seria perdido: a fonte permanece a pista.

Esta separação protege a base de auditoria dos ciclos de versão próprios ao Splunk, Sentinel, Elastic ou aos outros conectores. Um novo dialeto SIEM se traduz na periferia; ele não modifica nem a forma canônica nem a cadeia de integridade.

02Um formato canônico, várias destinações #sec_a182be39

Todos os modos de entrega contam a mesma história. BEACON emite um envelope canônico, alinhado com os padrões de segurança, que transporta o evento de auditoria sob sua forma verificável e atributos normalizados fáceis de explorar.

As adaptações para CIM, ASIM, ECS, UDM, CEF ou LEEF pertencem aos pacotes de conectores. A cadeia de servidor conserva assim um único contrato versionado e uma política de evolução aditiva.

Duas famílias de transporte cobrem os usos principais:

• o push HTTP, incluindo os perfis compatíveis com um coletor como o Splunk HEC;
• o depósito de lotes comprimidos e seus manifestos em um armazenamento de objetos do cliente.

O pull exibe o mesmo envelope, paginado por cursor. Pode servir como modo nominal ou de recuperação. Passar do pull para o push não altera nem o dicionário, nem a ferramenta de verificação, nem o sentido dos eventos.

03Nenhum buraco silencioso #sec_39c1a83b

A entrega é pelo menos uma vez: após uma incerteza de rede, um mesmo lote pode ser apresentado novamente. Seu identificador determinístico e o identificador estável de cada evento permitem ao consumidor deduplicar.

BEACON nunca pula um evento difícil de entregar. Após o esgotamento das tentativas, o destino é colocado em pausa e um incidente é levantado. A retomada parte do último checkpoint confirmado. A falha de um destino não afeta nem os outros destinos, nem a escrita da pista, nem o ato de negócio na origem do evento.

Se a interrupção ultrapassar a janela quente da pista, o destino passa para um estado explícito de recuperação requerida. Uma operação rastreada reconstitui então a faixa a partir do arquivo antes de retomar o fluxo atual. A ausência de buraco permanece verdadeira mesmo no caso degradado; ela não se baseia na esperança de que o destino retorne rápido o suficiente.

Um filtro não cria mais ruptura. Os eventos fora do perímetro são substituídos por marcos mínimos que conservam a continuidade criptográfica sem revelar seu conteúdo. O cliente pode, portanto, limitar os dados recebidos enquanto verifica que a sequência não foi amputada.

04Um manifesto para exercer a prova #sec_0b739556

Cada lote é acompanhado de um manifesto que descreve sua faixa de sequências, suas impressões de entrada e saída, o número de eventos e marcos, bem como as regras de integridade utilizadas. Quando a faixa é coberta por um selo, sua referência é incluída.

A ferramenta de verificação BEACON recalcula a cadeia, controla a continuidade entre vários lotes e produz um relatório datado. Ele anuncia o nível realmente demonstrado: continuidade por encadeamento, cobertura por um selo ou ancoragem externa quando existe. A presença de uma assinatura de transporte nunca é apresentada como uma prova mais forte que a própria pista.

O recebimento de um lote, a persistência de seu manifesto e o avanço do checkpoint formam uma operação coerente. Uma reinicialização pode provocar uma nova entrega idência, jamais uma faixa declarada entregue sem o manifesto que a documenta.

05Residência e fronteira de segurança #sec_0a77479b

Os workers BEACON são executados na região da subscrição e empurram para o destino declarado pelo cliente. O fluxo não transita por uma região mãe. Quando a região real de um endpoint não pode ser verificada tecnicamente, a escolha inter-regional é objeto de um reconhecimento explícito e auditado.

Os transportes utilizam HTTPS, o mTLS quando o destino o permite, e uma assinatura anti-rejeito por lote. Os segredos de destino são conservados em um cofre, referenciados pela configuração, jamais colocados em texto claro nos parâmetros ou nos logs.

A governança do canal é ela mesma auditada: criação, modificação, pausa, retomada e desativação de um destino tornam-se eventos. O sistema que exporta a pista permanece, portanto, sujeito à pista.

06Em resumo #sec_1d392ef5

BEACON entrega a prova sem duplicá-la. Seu formato único, seus checkpoints, seus manifestos e seus marcos garantem um fluxo ordenado, recuperável e verificável para as ferramentas de segurança do cliente, sem colocar o SIEM no caminho das operações de negócios.