Skip to main content
CID222 Docs
YönetimAyarlar

SIEM ve webhook entegrasyonları

Tespitleri, güvenlik olaylarını ve denetim olaylarını syslog ya da imzalı bir webhook üzerinden SIEM'inize iletin ve uyumluluk bulgularını bilet sisteminize devredin.

  • Sürüm: 0.4
  • Özellik: integrations.siem
  • Rol: admin_user
  • Tür: görev

Ayarlar → SIEM Aktarımı, tespitlerin ve olayların cihazdan nereye çıkacağına, önem derecelerinin nasıl puanlanacağına ve her hedefin ne kadar hacim alacağına karar verir. Aynı sayfa, uyumluluk bulgularını açıldıkça, değiştikçe ve kapandıkça bilet sisteminize gönderen ITSM devrini de tutar.

Neye ihtiyacım var?

Lisans
Enterprise
Rol
admin_user

Ön koşullar

  • Bir Enterprise lisansı. Bu sayfadaki her yol integrations.siem yeteneğine bağlıdır ve o olmadan 403 FEATURE_NOT_LICENSED yanıtı verir.
  • superadmin olarak oturum açmalısınız. API admin_user rolünü kabul etse de pano bu bölmeyi yalnızca superadmin ve salt okunur viewer rolüne listeler.
  • Bilinen bir ana makine ve portta syslog kabul eden bir toplayıcı ya da JSON POST kabul eden bir HTTPS uç noktası.
  • Cihaz o toplayıcıya erişebilmelidir — bkz. Ağ ön koşulları.
  • İmzalı bir webhook için: alıcınızın HMAC-SHA256 ile doğrulayabileceği paylaşılan bir gizli anahtar.

Ne dışa aktarılır, ne hiçbir zaman aktarılmaz

Cihazdan yalnızca üst veri çıkar: varlık türleri ve sayıları; hiçbir zaman istem metni ve hiçbir zaman tespit edilmiş bir değer. Pencere bunu siz hiçbir şey doldurmadan önce belirtir.

Bir hedef akışlara abone olur:

AkışSayfanın adlandırmasıNe taşır
detectionsTespitler — her politika eşleşmesiSohbet, tarayıcı ve SWG incelemesi, eklenti ve belgeler genelinde her politika eşleşmesi.
security_eventsGüvenlik olayları — engellemeler, kimlik doğrulama hataları, hatalarGüvenlik ve hata kategorilerindeki olay kaydı satırları.
audit_eventsDenetim olayları — yönetici değişiklikleri, inceleme kararlarıDenetim kategorisindeki olay kaydı satırları.
findings—Uyumluluk bulguları. Yalnızca ITSM hedefleri; bir SIEM hedefi buna abone olamaz ve bir ITSM hedefi başka hiçbir şeye abone olamaz.

Bir syslog hedefi ekleyin

Aktarım ayarlarını açın

Ayarlar → SIEM Aktarımı, ardından Hedef ekle öğesini seçin.

Pencere Yeni hedef başlığıyla açılır.

Syslog'u seçin

Hedef türü alanını Syslog (CEF / JSON) yapın.

Ana makine, port, protokol ve biçim alanları belirir.

Toplayıcıyı adresleyin

Sunucu, Port ve Protokol alanlarını ayarlayın — udp, tcp ya da tls.

TCP ve TLS her olayı bir satırda çerçeveler ve on saniye sonra zaman aşımına uğrar. UDP gönder-unut biçimindedir: yalnızca yerel bir soket hatası bildirilir.

Tel biçimini seçin

Biçim alanını cef, json ya da ocsf yapın.

CEF varsayılandır ve en derli toplu olanıdır. OCSF JSON'dur, dolayısıyla her olay aynı olayın CEF hâlinin kabaca 3,8 katı boyutundadır — sayfa ölçülmüş değerleri belirtir. EPS başına lisanslamada hiçbir şey değişmez, çünkü olay sayısı aynıdır.

Akışlara abone olun

Akışlar altından akışları seçin.

En az biri zorunludur.

Önem derecesi modelini seçin

Önem derecesi modeli alanını Eski (ilk sürüm) ya da v2 — kalan risk yapın.

v2'de önem derecesi hâlâ maruz kalınanı izler: yalnızca işaretlenip modele ulaşan bir tespit, engellenmiş olandan daha yüksek puan alır. Yeni hedefler v2 ile oluşturulur.

Kaydedin ve test edin

Kaydet, ardından yeni satırda Test gönder öğesini seçin.

Bir bildirim Test olayı iletildi der ve CID_TEST_EVENT imzalı tek bir yapay olay, toplayıcınıza hedefin gerçek biçiminde ulaşır.

Warning

Önem derecesi modelini değiştirmek sayıların anlamını değiştirir. Bir eşiğe bağlı uyarı kuralı bundan sonra farklı olaylarla eşleşir. Kaydetmeden önce SIEM'inizdeki bu kuralları gözden geçirin.

İmzalı bir webhook hedefi ekleyin

Webhook türünü seçin

Hedef ekle öğesini seçin ve Hedef türü alanını Webhook (JSON batch) yapın.

Uç noktayı girin

URL alanını bir http:// ya da https:// uç noktası yapın.

Cihaz oraya on saniyelik zaman aşımıyla POST yapar ve hiçbir yönlendirmeyi izlemez. 2xx aralığının dışındaki her şey başarısızlıktır.

Paylaşılan gizli anahtarı belirleyin

Paylaşılan gizli anahtar (HMAC) alanına bir değer girin.

Bundan sonra her istek X-CID-Signature başlığını sha256= ve isteğin tam gövdesinin onaltılık HMAC-SHA256 değeri biçiminde taşır. Boş bırakırsanız imza başlığı gönderilmez. Saklandıktan sonra alan kayıtlı — korumak için boş bırakın gösterir.

Kaydedin ve test edin

Kaydet, ardından Test gönder öğesini seçin.

Uç noktanız, gövdesi tek bir test olayı içeren {"events":[…]} olan bir POST alır; ayrıca X-CID-Event-Count ve gizli anahtar tanımlıysa X-CID-Signature başlıklarını.

Bir hedefin ne kadar alacağını denetleyin

Hacim disiplini hedef başınadır ve Bu hedefe ne gönderilir altındadır.

DenetimEtkisi
Katman A — her olayı iletHerhangi bir kanaldaki engellemeler ve reddetmeler, jailbreak ve enjeksiyon denemeleri, modele ulaşmış yüksek önem dereceli veriler ve inceleme atlatmaları. Varsayılan olarak açık.
Katman B — kiracı başına saatlik özetMaskelenen ve işaretlenen hacim; kiracı başına saatte bir olay olarak, kanal dökümü, benzersiz kullanıcılar ve önceki saate göre değişimle. Varsayılan olarak açık.
Ajan etkinliği (Claude Code / MCP)Hangi ajan araçlarının hangi depolara karşı çalıştığının sayıları; saatlik özete eklenir. Varsayılan olarak kapalıdır — ağ geçidinin ürettiği en büyük akıştır.
Önem eşiği (1-10)Bunun altında puan alan olaylar iletilmez ve gönderilmeyen olarak sayılır. Saatlik özet eşikle hiçbir zaman susturulmaz.
Olay türleri (seçmeli)Virgülle ayrılmış bir izin listesi. Boş olması her tür demektir. Yalnızca güvenlik ve denetim akışlarına uygulanır.
Kiracılar / Kiracı gruplarıYalnızca bunları ilet. Her kiracıyı iletmek için hiçbirini seçmeyin. Grup üyeliği her aktarım döngüsünde yeniden çözümlenir.

Katman C — temiz trafik, sinyaller ve arkasında hiçbir şey olmayan işaretlemeler — hiçbir zaman gönderilmez. Tüm Tespitler sayfasında sorgulanabilir kalır.

Danger

Kapsamlanmış bir hedef, bir kiracıya atfedilememiş trafiği almayı bırakır; buna atfedilmemiş SWG inceleme trafiği de dahildir. Kapsamı değiştirmek, hedefin imleçlerini şimdiye sıfırlar: hiçbir geçmiş yeniden oynatılmaz.

Bulguları bilet sisteminize devredin

ITSM devri planlanmış değil, kullanıma sunulmuştur. SIEM webhook'uyla aynı imzalı JSON toplu gönderimini yapar; içinde bir olay yerine bir bulgu vardır.

Hedefi ekleyin

ITSM handoff altında Add ITSM destination öğesini seçin.

Pencere neyin gittiğini belirtir: tespit başvurusu, mevzuatları, sahibi ve termini — hiçbir zaman istem metni ve hiçbir zaman tespit edilmiş bir değer.

Ara katmanınıza yönlendirin

Webhook URL alanını kendi otomasyon uç noktanız yapın.

CID222 doğrudan Jira ya da ServiceNow ile konuşmaz, çünkü alan eşlemeniz ve kimlik bilgileriniz zaten ara katmanınızda durur.

İmzalayın ve yönlendirin

Signing secret alanını ayarlayın, gerekli Custom headers değerlerini satır başına bir Ad: değer biçiminde ekleyin ve gerektiği kadarıyla Project / queue key, Issue type, Priority ve Default assignee alanlarını doldurun.

Bu dört varsayılan olduğu gibi geçirilir; böylece alıcınızın yönlendirmeyi sabit kodlaması gerekmez. Başlık değerleri diskte şifrelenir ve hiçbir zaman döndürülmez; sayfa sonrasında yalnızca adlarını listeler.

Test edin

Test gönder öğesini seçin.

Bir bildirim Test finding delivered der ve uç noktanız, gösterge değerleri taşıyan gerçek bir bulgu biçimli yük alır.

Note

Beş başlık adı ayrılmıştır ve geçersiz kılınamaz: content-type, content-length, host, x-cid-signature ve x-cid-event-count.

Alan başvurusu

Bir CEF satırı nasıl görünür

<162>Jul 23 09:00:00 cid-appliance CEF:0|CID222|cid-core|0.4.0|MESSAGE_BLOCKED|message blocked|8|rt=1784797200000 externalId=e1 cat=security_events suid=t1 suser=u1 cs1=s1 cs1Label=sessionId category=SECURITY path=/chat/completions correlation_id=c1
CEF alanıCID222 değeri
Üretici, ürünHer zaman CID222 ve cid-core düz metinleri.
SürümCihazın uygulama sürümü.
İmzaOlay türü.
AdOlay türü; küçük harfe çevrilmiş ve alt çizgiler boşlukla değiştirilmiş hâli.
Önem0–10; hedefin önem derecesi modelinden.
rtOlayın gerçekleştiği an, epoch milisaniye olarak.
externalIdOlayın kendi kimliği.
catAkış.
suid, suser, cs1Biliniyorsa kiracı, kullanıcı ve oturum.
srcv2 hedeflerinde isteğin kaynak adresi.
actVarsa yapılan eylem.

Syslog tesisi local4'te sabittir ve yapılandırılamaz. Öncelik CEF önem derecesini izler: 9 ve üzeri kritik, 7 ve üzeri uyarı, 4 ve üzeri bildirim, geri kalanı bilgi olur.

Bir webhook gövdesi nasıl görünür

Tek bir POST bir toplu gönderim taşır: {"events":[…]}; her girdi, source, stream, id, occurred_at, signature, name, severity, tenant_id, user_id ve session_id alanlarını ve ardından olayın kendi uzantı anahtarlarını içeren düz bir JSON nesnesidir. ocsf bu zarfı OCSF v1.8 sınıf nesneleriyle değiştirir.

Teslimat davranışı

ÖzellikDeğer
Aktarım döngüsüVarsayılan olarak 30 saniyede bir (SIEM_EXPORT_INTERVAL_MS).
Toplu boyut200 olay, döngü başına en fazla beş toplu gönderim.
Yeniden denemeİstek başına değil döngü başına: 1, 2, 4, 8 dakika; 15 ile sınırlı.
Teslimat güvencesiEn az bir kez. İmleç yalnızca başarılı bir gönderimden sonra ilerler; dolayısıyla bir hata atlanmaz, yeniden denenir — yineleme olabilir, kayıp olmaz.
BozulmaArdışık beş hatadan sonra ya da birikmiş kuyruk 30 dakika ilerlemediğinde (SIEM_EXPORT_DEGRADED_AFTER, SIEM_EXPORT_STALL_MS).

Doğrulama

  1. Hedef satırında İletilen (24s) yükselir ve Son hata boştur.
  2. Toplayıcınız test olayını tutar ve satırın Sıra numarası damgalanmıştır. SIEM'inizde bir penceredeki olayları sayıp sıra aralığıyla karşılaştırın: eksiklik, olayların cihaz ile toplayıcı arasında kaybolduğu anlamına gelir. Boşluk hiçbir zaman beklenmez.
  3. Toplayıcıyı çevrimdışı yapın. Birkaç döngü içinde satır Bozulmuş olarak işaretlenir ve Olay Günlükleri sayfası, nedeni ve ardışık hata sayısıyla SIEM_EXPORT_DEGRADED kaydeder.
  4. Geri getirin. Sonraki başarılı döngü SIEM_EXPORT_RECOVERED kaydeder ve birikmiş kuyruk atlanmak yerine teslim edilir.
  5. İmzalı bir webhook için ham gövdenin HMAC-SHA256 değerini kendi gizli anahtarınızla yeniden hesaplayıp X-CID-Signature başlığıyla karşılaştırın.

Başarısız olursa

  • Sayfa açılmıyorsa ya da her çağrı FEATURE_NOT_LICENSED döndürüyorsa: SIEM aktarımı bir Enterprise yeteneğidir. Bkz. Lisans katmanları.
  • config.protocol must be one of udp, tcp, tls ya da config.format must be one of cef, json, ocsf → desteklenmeyen bir değer. Webhook biçim listesi yalnızca json ve ocsf'tir.
  • config.url must be an http(s) URL → webhook URL'sinde şema yok.
  • An ITSM destination subscribes to the "findings" stream only ya da The "findings" stream is delivered by an ITSM destination, not a SIEM one → iki hedef türü akış paylaşamaz.
  • "…" is set by the gateway and cannot be overridden → ayrılmış beş başlık adından birini eklediniz.
  • Test gönder işlemi reddedilen bir bağlantı ya da syslog zaman aşımı gibi ham bir bağlantı hatası gösteriyorsa cihaz toplayıcıya erişemiyordur. Test, aktarım katmanının kendi ifadesini gösterir.
  • Satır toplayıcı teslimatı sürekli reddetti ile Bozulmuş ise uç nokta toplu gönderimi reddediyordur. Durum kodlarını denetleyin; 2xx dışındaki her şey başarısızlıktır.
  • Satır birikmiş kuyruk ilerlemiyor ile Bozulmuş ise olaylar bulunduğu hâlde 30 dakikadır hiçbir şey teslim edilmemiştir.
  • İmleç gecikmesi büyüyor ama satır takılı değilse ağ geçidi engellenmiş değil, sessizdir. Gecikme, ancak hedef aynı zamanda takılı olarak işaretlendiğinde birikme anlamına gelir.
  • Tüm Tespitler sayfasında olaylar görünürken bir hedef hiçbir şey almıyorsa Önem eşiği, Olay türleri (seçmeli) ve kiracı kapsamını denetleyin. Gönderilmeyen olaylar Gönderilmeyen (24s) altında sayılır.

Sonraki adımlar

  • Tüm tespitler — aynı kayıtlar, cihaz üzerinde sorgulanabilir hâlde.
  • Olay günlükleri — güvenlik ve denetim akışları, kaynağında.
  • Veri saklama — bu kayıtlar dışa aktarıldıktan sonra yerelde ne kadar yaşar.

Son güncelleme

Bu sayfada