Difundir a trilha de auditoria para o seu SIEM

01Em uma frase #sec_b2947bf1

BEACON entrega a trilha de auditoria na ordem, por cadeia, assinada, para o seu SIEM ou armazenamento — e um corte de retenção chega como um corte assinado, nunca como um buraco.

02Onde #sec_5f11263a

Parâmetros › Integrações & IA › BEACON. A difusão está incluída na edição Unlimited; em outros casos, sob solicitação, a critério do editor. A tela indica se é o seu caso.

Dois caminhos coexistem, e a tela os apresenta juntos: o push — configurado nesta página — e o pull verificável: o seu SIEM também pode ler a trilha ele mesmo, cadeia por cadeia, com os mesmos elos e manifestos que o push. O pull passa por um cliente API com o escopo de leitura de auditoria.

03Antes de criar: a identidade fresca #sec_018aa8e8

Criar um destino é um ato sensível: a trilha de auditoria inteira da souscription irá para um terceiro. A tela exige portanto uma autenticação forte de menos de dez minutos — Confirme a sua identidade. Será redirecionado para o seu diretório, depois trazido de volta aqui. Se falhar, a causa está quase sempre nos parâmetros de garantia do seu fornecedor de identidade.

04Novo destino #sec_69919eb6

O assistente avança por etapas.

Nome e transporte. Os transportes conhecidos cada um têm sua expectativa, escrita no campo URL: um coletor Splunk (https://hóste:porta, ou URL terminando em /services/collector), um fluxo Elastic (a URL _bulk completa de um fluxo de dados ou de um índice), uma regra de coleta Sentinel (a URL de ingestão completa de uma regra de coleta), ou um compartimento de armazenamento de objetos.

As credenciais do destino. Elas diferem por transporte, e o assistente diz cada vez o que mantém e o que não mantém:

• Sentinel: o identificador do diretório e o da aplicação — *não são

senhas — depois o certificado com sua chave privada. O arquivo e a senha existem apenas durante este gesto: a chave é selada, nunca armazenada em claro.*

• Armazenamento de objetos: a conta proprietária do compartimento — *cada gravação o exige: um

nome de bucket assumido por um terceiro recusará a trilha — e uma chave de acesso. Conceda apenas o direito de gravar no prefixo beacon/ deste bucket. As chaves são testadas por uma gravação de sonda antes de serem aceitas.*

A geografia. O assistente observa onde o destino está e compara com a hospedagem da sua souscription. Se os eventos sairão dela, uma justificativa é exigida: os eventos sairão da geografia da souscription: este reconhecimento é traçado na trilha de auditoria.

A partida. Desde o início de cada cadeia (histórico completo), ou desde a ativação (somente o que segue). Para um SIEM que deva poder verificar, escolha o histórico.

O filtro. Opcional: um código de ação por linha, ou um prefixo terminado por um ponto e uma estrela — vazio = fluxo completo. Leia o aviso antes de definir um: um filtro substitui os eventos descartados por marcos: a prova selada para no primeiro marco; além disso, o verificador verifica apenas o encadeamento. Um filtro compra menos volume contra menos prova.

Criar. Para Sentinel, o destino nasce em rascunho: ative-o desde seu painel uma vez que o papel for concedido na regra de coleta. Para os outros, Ativar na criação é proposto.

05Ler a lista #sec_75146433

Cada destino carrega seu alvo, seu status — Ativo, Em pausa após falhas, Em pausa (manual), Desativado, Rascunho —, seu atraso (Em dia, ou N min, N h, N j) e sua margem antes do corte: N% restantes.

A margem é o número a vigiar. A retenção da souscription acaba cortando os eventos mais antigos; um destino atrasado mais do que essa margem receberá um corte assinado onde esperava eventos. Nunca um buraco, mas uma falta evidente. Um destino em pausa após falhas que envelhece se aproxima deste ponto.

06O que o SIEM recebe #sec_28ee06bd

Eventos entregues na ordem, por cadeia, assinados, com os manifestos que permitem verificar o encadeamento fora do REVIEWIT. A página BEACON dos Conceitos descreve o formato, e a ferramenta de verificação pública o que ela controla. Do lado do workspace, a postura de auditoria mostra os destinos ativos: estes destinos recebem toda a trilha de auditoria da souscription, este workspace incluído.

07O ritmo #sec_8b53d5d6

08A reter #sec_448d6cb0

Uma identidade fresca, um transporte, identificadores testados e depois selados, uma geografia assumida. O fluxo completo é a única configuração que mantém toda a prova; um filtro o diz, um atraso se lê, um corte se assina.