Diffuser la piste d'audit vers votre SIEM

01En une phrase #sec_b2947bf1

BEACON livre la piste d'audit dans l'ordre, par chaîne, signée , vers votre SIEM ou votre stockage — et une coupe de rétention arrive comme une coupe signée, jamais comme un trou .

02Où #sec_5f11263a

Paramètres › Intégrations & IA › BEACON. La diffusion est incluse dans l'édition Unlimited ; ailleurs, sur demande, à la discrétion de l'éditeur . L'écran le dit si c'est votre cas.

Deux chemins coexistent, et l'écran les présente ensemble : le push — ce que cette page configure — et le pull vérifiable : votre SIEM peut aussi lire la piste lui-même, chaîne par chaîne, avec les mêmes maillons et manifestes que le push. Le pull passe par un client API avec le scope de lecture d'audit.

03Avant de créer : l'identité fraîche #sec_018aa8e8

Créer une destination est un acte sensible : la piste d'audit entière de la souscription va partir vers un tiers. L'écran exige donc une authentification forte de moins de dix minutes — Confirmez votre identité . Vous serez renvoyé vers votre annuaire, puis ramené ici. Si cela échoue, la cause est presque toujours dans les paramètres d'assurance de votre fournisseur d'identité.

04Nouvelle destination #sec_69919eb6

L'assistant avance par étapes.

Nom et transport. Les transports connus portent chacun leur attente, écrite sur le champ URL : un collecteur Splunk ( https://hôte:port , ou l'URL se terminant par /services/collector ), un flux Elastic ( l'URL _bulk complète d'un flux de données ou d'un index ), une règle de collecte Sentinel ( l'URL d'ingestion complète d'une règle de collecte ), ou un compartiment de stockage objet.

Les identifiants de la cible. Ils diffèrent par transport, et l'assistant dit chaque fois ce qu'il garde et ce qu'il ne garde pas :

• Sentinel : l'identifiant de l'annuaire et celui de l'application — *ce ne sont pas des

secrets — puis le certificat avec sa clé privée. Le fichier et le mot de passe ne vivent que le temps de ce geste : la clé est scellée, jamais conservée en clair.*

• Stockage objet : le compte propriétaire du compartiment — *chaque écriture l'exige : un

nom de bucket repris par un tiers refusera la piste — et une clé d'accès. N'accordez que le droit d'écrire sur le préfixe beacon/ de ce bucket. Les clés sont éprouvées par une écriture de sonde avant d'être retenues.*

La géographie. L'assistant observe où vit la cible et le compare à l'hébergement de votre souscription. Si les événements vont en sortir, une justification est exigée : les événements quitteront la géographie de la souscription : cette reconnaissance est tracée dans la piste d'audit.

Le départ. Depuis le début de chaque chaîne (historique complet) , ou depuis l'activation (seulement ce qui suit) . Pour un SIEM qui doit pouvoir vérifier, prenez l'historique.

Le filtre. Facultatif : un code d'action par ligne, ou un préfixe terminé par un point et une étoile — vide = flux complet. Lisez l'avertissement avant d'en poser un : un filtre remplace les événements écartés par des jalons : la preuve scellée s'arrête au premier jalon ; au-delà, le vérificateur ne vérifie que le chaînage. Un filtre achète du volume en moins contre de la preuve en moins.

Créer. Pour Sentinel, la destination naît en brouillon : activez-la depuis son panneau une fois le rôle accordé sur la règle de collecte. Pour les autres, Activer dès la création est proposé.

05Lire la liste #sec_75146433

Chaque destination porte sa cible, son statut — Active , En pause après échecs , En pause (manuelle) , Désactivée , Brouillon —, son retard ( À jour , ou N min , N h , N j ) et sa marge avant coupe : N % restants .

La marge est le chiffre à surveiller. La rétention de la souscription finit par couper les événements les plus anciens ; une destination en retard de plus que cette marge recevra une coupe signée là où elle attendait des événements. Jamais un trou , mais un manque avéré. Une destination en pause après échecs qui vieillit se rapproche de ce point.

06Ce que le SIEM reçoit #sec_28ee06bd

Des événements livrés dans l'ordre, par chaîne, signés , avec les manifestes qui permettent de vérifier le chaînage hors de REVIEWIT. La page BEACON des Concepts décrit le format, et l'outil de vérification public ce qu'il contrôle. Côté workspace, la posture d'audit affiche les destinations actives : ces destinations reçoivent toute la piste d'audit de la souscription, ce workspace compris.

07Le rythme #sec_8b53d5d6

08À retenir #sec_448d6cb0

Une identité fraîche, un transport, des identifiants éprouvés puis scellés, une géographie assumée. Le flux complet est la seule configuration qui conserve la preuve entière ; un filtre le dit, un retard se lit, une coupe se signe.