CID222 tespitlerini, güvenlik olaylarını ve denetim olaylarını CEF, JSON veya OCSF olarak bir syslog toplayıcısına ya da bir webhook'a iletin.

CID222, tespitleri ve olayları güvenlik operasyonu araçlarınıza, istek yolunun içinde değil yanında çalışan bir giden kutusu yoklayıcısından teslim eder. Bu sayfa işin toplayıcı tarafını kapsar: cihazdan neyin, hangi biçimde, hangi taşıma üzerinden çıktığı ve ulaştığının nasıl kanıtlanacağı.

Neye ihtiyacım var?

Lisans: Enterprise
Rol: admin_user

Ön koşullar

UDP, TCP ya da TLS üzerinden syslog kabul eden bir toplayıcı ya da JSON toplu gönderim kabul eden bir HTTPS uç noktası.
Toplayıcının cihazdan erişilebilen adresi ve portu.
TLS bir toplayıcı için, cihazın sistem güven deposunun zaten kabul ettiği bir sertifika.
Bir webhook için, cihazın her toplu gönderimi imzalamasını istiyorsanız paylaşılan bir gizli anahtar.
SIEM'inizin üç akıştan hangilerini alacağına dair bir karar.

Ne aktarılır, ne asla aktarılmaz

Yükler yalnızca üstveridir: varlık türleri ve sayıları, alınan eylem, kiracı ve oturum tanımlayıcıları, puanlar ve kararlar. Asla istem metni. Asla bir yanıt. Asla tespit edilen bir değer. Üç kredi kartı numarasının maskelendiğini söyleyen bir satır, türü ve üç sayısını taşır; SIEM'in sızıntının kendisi hâline gelmesini sağlayacak hiçbir şeyi taşımaz.

Hedef başına bağımsız abone olunan üç akış vardır:

Akış	Kaynak	İçerik
Tespitler	Birleşik tespit akışı	Sohbet, tarayıcı ve ağ geçidi denetimi, eklenti ve belge tespitleri
Güvenlik olayları	Olay günlüğü	Engellemeler, kimlik doğrulama hataları, istisnalar
Denetim olayları	Olay günlüğü	Yönetsel değişiklikler ve inceleme kararları

Hacim: bir hedefe gerçekte ne gönderilir

Bu ürünün karşılaştığı her SIEM sayaçlıdır; yani "her şeyi ilet" bir faturadır ve fatura, bir güvenlik denetiminin kapatılma biçimidir. Güncel modeldeki bir hedef, tespitleri katmana göre yönlendirir:

Katman	Ne	Teslim
A	Herhangi bir kanaldaki retler ve engellemeler, jailbreak ve enjeksiyon, 6 ve üzeri önem derecesi ve denetimi atlayan her şey	Bire bir, hemen iletilir
B	Maskeleme ve işaretleme hacmi	Kiracı başına saatte bir özet
C	Temiz trafik, kalp atışları, arkasında hiçbir şey olmayan işaretlemeler	Cihazdan hiç çıkmaz

C katmanı satırları atılmaz — Tüm Tespitler ekranında sorgulanabilir kalırlar. Yalnızca iki kez ödenmekten çıkarlar. Güvenlik ve denetim olayları zaten düşük hacimlidir ve bire bir kalır.

Önem derecesi, harcanan çabayı değil kalan riski sıralar: denetimden geçmeden geçen içerik en yüksek puanı alır, bir denetim arızası onu izler ve bir engelleme düşük puan alır çünkü maruziyet gerçekleşmemiştir. Bu, saf bir aktarımın üreteceği sıralamanın tersidir ve bunun üzerine kurulu bir SOC kuyruğunun hâlâ önemli olan olayları öne çıkarmasının nedenidir.

Bir hedef ekleyin

Aktarım ayarlarını açın

Ayarlar → SIEM Aktarımı ekranını seçin.

Sayfa, mevcut hedefleri sağlıkları, son 24 saatteki hacimleri ve SIEM lisansınıza getirdikleri yükün tahminiyle listeler.

Önce panel taban URL'sini ayarlayın

Hedef listesinin üzerindeki Panel taban URL'si kartını doldurun.

Aktarılan her olay bundan sonra paneldeki kayda doğrudan bir bağlantı taşır. Boş bırakırsanız bağlantı alanı yükte hiç bulunmaz — asla boş, asla tahmin.

Hedefi oluşturun

Hedef ekleme eylemini seçin, bir ad verin ve Hedef türü seçin:

Syslog (CEF / JSON) — toplayıcıya olay başına satır sonuyla çerçevelenmiş bir satır.
Webhook (JSON toplu) — bir olay grubunu taşıyan tek bir HTTPS isteği.

Toplayıcıyı adresleyin

Sunucu ve Port alanlarını, ardından Protokol alanını udp, tcp ya da tls olarak ayarlayın.

TLS'i yeğleyin. UDP, baskı altında olayları sessizce kaybeder ve cihaza yeniden deneyecek bir şey bırakmaz; bu da aşağıdaki en az bir kez güvencesini boşa çıkarır.

Biçimi seçin

Biçim alanını ayarlayın:

CEF — yalnızca syslog. En derli toplusudur ve çoğu toplayıcının özel bir kural olmadan ayrıştırdığı biçimdir.
JSON — olay başına bir nesne.
OCSF 1.8 — bunun üzerinde normalleştiren toplayıcılar için açık şema.

OCSF, aynı olayın CEF karşılığının kabaca 3,8 katı büyüklüktedir. Gigabayt başına bir lisansta çarpan budur; olay başına bir lisansta hiçbir şey değişmez.

Akışlara abone olun

Bu hedefin alacağı akışları seçin.

Hiçbir akışa abone olmayan bir hedef hiçbir şey teslim etmez. Dağıtımların çoğu tespitleri ve güvenlik olaylarını SIEM'e, denetim olaylarını ise uzun süre saklayan ayrı bir hedefe gönderir.

Aldıklarını daraltın

İsteğe bağlı olarak bir önem eşiği, bir olay türü izin listesi ve bir kiracı ya da grup kapsamı ayarlayın.

Her denetim varsayılan olarak geçirgendir. Bir departmanın olaylarının başka bir departmanın toplayıcısına ulaşmaması gerektiğinde başvurulacak denetim kapsamdır; kapsamsız bir hedef her departmanı görür.

Kaydedin ve sınayın

Hedefi kaydedin, sonra Test gönder eylemini kullanın.

Cihaz, gerçek taşıma ve gerçek biçim üzerinden tek bir yapay olay gönderir. Başarılı bir test; adresi, taşımayı, sertifikayı ve biçimi birlikte kanıtlar.

Note

Yeni bir hedefin imleci onu oluşturduğunuz anda başlar; yani geçmiş SIEM'inize yeniden oynatılmaz. Bir kapsamı sonradan genişletmek de geriye dönük doldurma yapmaz.

Bir CEF satırı nasıl görünür

Tarayıcı kanalında maskelenmiş bir tespit, bir syslog başlığına sarılmış hâliyle:

CEF:0|CID222|cid-core|0.4.0|PII_DETECTED|content detection: pii|4|rt=1757505451539 externalId=extension:3d3dd9fd-… cat=detections suid=f3de8a7b-… suser=sarah_smith cs1=… cs1Label=sessionId src=10.0.5.42 act=masked channel=browser detection_source=extension kind=prompt direction=request verdict=REDACT detection_group=pii entity_count=3 entity_types=EMAIL,PHONE,PERSON_NAME message_role=user hostname=LT-0142 severity_model=v2 severity_reason=masked tier=A tier_reason=…

Şöyle okuyun: başlıkta sağlayıcı ve ürün, sonra makine imzası, insan tarafından okunan ad ve önem derecesi. Eklentide act alınan eylemdir, entity_types yalnızca türlerdir ve src yalnızca kanalın gerçekten bir adres kaydettiği yerde bulunur — bulunmayan bir anahtar yok demektir; yani kaynak adres üzerinden bir ilişkilendirme, adresi olmayan satırlarla eşleşemez.

Aynı disiplin cihaz alanları için de geçerlidir: hostname, device_id ve device_label, her sohbet olayında boş değer olarak değil, yalnızca bunları kaydeden kanallarda görünür.

Teslim güvenceleri

En az bir kez. İmleç yalnızca başarılı bir gönderimden sonra ilerler; bu yüzden başarısız bir teslim sonraki döngüde yeniden denenir. Yineleme olabilir; kayıp olmaz.
Geri çekilme. Ardışık arızalardan sonra bir hedef, on beş dakikaya kadar artan bir süre boyunca atlanır.
Hedef başına sıra numaraları. Her olay o hedef için bir sıra numarası taşır; böylece aldığınız sayıyı numara aralığıyla karşılaştırarak bir pencereyi uzlaştırabilirsiniz.
Kullanıcının isteğine hiçbir maliyeti yoktur. Tüm hedefler sağlıklıyken, biri kapalı bir porta yönlendirilmişken ve aktarım kapalıyken ölçüldü: üç durum arasındaki 95. yüzdelik istek gecikmesi farkının en büyüğü, 11,64 ms'lik eşiğe karşı 1,13 ms'dir. Ölü bir toplayıcı, hiç toplayıcı olmamasından ayırt edilemez.

Doğrulama

Hedefin test olayı toplayıcıya ulaşır. İmzası yapay test türü, kategorisi ise güvenlik olayları akışıdır.
Ağ geçidi üzerinden test kişisel verisi içeren bir istem gönderin. Bir yoklama aralığı içinde (SIEM_EXPORT_INTERVAL_MS, varsayılan 30 saniye) toplayıcı tespiti alır.
Ayarlar sayfasındaki hedef satırı yakın bir başarı zamanı, hata yokluğu ve sıfırdan farklı bir 24 saatlik hacim gösterir.
Bir saatin kapanmasını bekleyin ve saatlik özet olayının, o kiracının pencereye ait maskelenen, işaretlenen ve engellenen sayılarıyla ulaştığını doğrulayın.
Toplayıcıyı bilerek bozun — hedefi kapalı bir porta yönlendirin — ve arıza sayısı SIEM_EXPORT_DEGRADED_AFTER değerini geçtiğinde cihazın bir SIEM_EXPORT_DEGRADED olayı ürettiğini doğrulayın. Geri düzeltin ve SIEM_EXPORT_RECOVERED olayını doğrulayın.

Başarısız olursa

Test başarılı ama hiç tespit gelmiyor — hedef hiçbir akışa abone değildir ya da yalnızca hiçbir şeyin yazmadığı bir akışa abonedir. Akış seçimini denetleyin.
Tespitler geliyor ama Tüm Tespitler ekranındakinden çok daha azı — bu, katmanlamanın çalışmasıdır. Maskelemeler ve işaretlemeler saatlik tek bir özete dönüşür; temiz trafik cihazdan hiç çıkmaz.
Toplayıcı TLS el sıkışmasını reddediyor — cihaz, toplayıcının sertifikasını kendi sistem güven deposuna karşı doğrular ve özel bir toplayıcı otoritesi için bir alan yoktur. Dâhilî bir otorite kullanan bir toplayıcı, o otoritenin cihazda güvenilir olmasını ya da hedefin doğrulamayı tümüyle kapatan güvensiz TLS seçeneğinin açılmasını gerektirir.
Bir lisans değişikliğinden sonra olaylar duruyor — aktarım, API'de olduğu gibi çalışma zamanında da kapı tutulur. Bir katman düşürmesi bunu yeniden başlatmaya gerek kalmadan durdurur ve hiçbir arıza üretilmez, çünkü bir şey arızalanmamıştır.
Webhook gönderimleri imzasız diye reddediliyor — paylaşılan gizli anahtar cihazda ayarlanmıştır ama alıcınız özeti farklı bir gövde üzerinde hesaplıyordur. İmza, gönderilen tam baytları kapsar.
Bir döndürmeden sonra saklanmış her webhook gizli anahtarı çalışmayı bıraktı — gizli anahtarlar, JWT_SECRET değerinden türetilen bir anahtarla şifrelenir. O gizli değeri döndürmek bunları geçersiz kılar; her birini yeniden girin.
Eski bir hedefte hacim beklenenden çok yüksek — o hedef, her tespiti bire bir ileten ve yalnızca sohbet kanalını kapsayan eski önem derecesi modelini çalıştırıyordur. Canlı bir hedefi değiştirmek, uyarı kurallarınızın eşleştiği önem derecesi sayılarının anlamını değiştirir; bu yüzden değişikliği bilinçli yapın.

Bilinen eksikler

Hiçbir şey itmez. Aktarıcı bir yoklayıcıdır; yani bir olay SIEM'e anında değil, bir aralık içinde ulaşır.
Yinelenen saldırı yükseltmesi bellektedir. Tekrar tekrar saldıran bir kaynak için önem derecesini yükselten pencere, süreçle birlikte yeniden başlar. Yeniden başlatmadan sonra fazla değil, eksik yükseltir.
Bir hedef kapsamı geriye dönük çalışmaz. Bir kiracı ya da grup kapsamını genişletmek yalnızca yeni olayları gönderir; kapsam darken süzülen olaylar geriye dönük doldurulmaz.

Sonraki adımlar

Tümleşmeler — ayarlar sayfasının kendisi, alan alan.
ITSM devri — diğer giden kanal: bir bilet kuyruğuna gönderilen uyumluluk bulguları.
Tanılama anlık görüntüsü — arızalanan şeyin aktarımın kendisi olduğu durumda ne toplanacağı.

Tespitleri SIEM'inize aktarma