コンテンツにスキップ

SIEM/ITSM フォワーダー

SIEM/ITSM フォワーダー（modules/siemforward）は、エンジンがすでに封印した証拠を、SOC がすでに運用しているタワーへ届けます。これは LIVE です。新たな証拠は一切保持しません。すなわち改ざん検知可能な監査台帳とガバナンスの検出結果ストリームをウォークし、各レコードを宛先のネイティブな方言へ再整形して、耐久配信のためにイベンティング基盤へ引き渡します。整合性フィールドはそのまま伝搬され、転送中に再導出されることはありません。

何を、どのように転送するか

2つの半分が連携します。SinkRenderer（eventing.SinkRenderer を実装）は、キャプチャした1つのイベントをタワーのワイヤーフォーマットへ再整形します。

audit.recorded — 封印済みの台帳レコード。core/audit を通じてレンダリングされます。
finding.reported — ガバナンスの検出結果（最小データ: ハッシュ + 秘匿化済みの抜粋）。
バス上のその他すべて — 汎用コレクターが自前でパースできる、フォーマット非依存のエンベロープ。

サポートされる方言: OCSF 1.8、CEF、LEEF、syslog、OTLP、および構造化 JSON のパススルー。レンダラーは deny-closed（失敗時拒否） です。未知のシンク種別やレンダリング不能なフォーマットはエラーを返し、エンジンはリトライののちデッドレターへ送ります。認証されていない送信や形状の誤った送信は決して行いません。

リーダーゲート付きのフォワードポンプが残りを駆動します。各実行時にテナントごとのカーソルを読み取り、次のシーケンスから台帳を区切られたバッチでウォークし、各レコードをキューに入れます。カーソルはキューイングに成功したレコードの先までしか前進しないため、クラッシュや再起動時には停止した地点から再開されます。これが、権威ある情報源である台帳からの at-least-once（少なくとも1回） です。再ウォークされたレコードは下流で重複排除されます。

宛先

台帳の送り先はテナントごとのイベンティングシンクサブスクリプションであり、このモジュール上のセルフサービス API ではありません。ルートは一切マウントしません。宛先は オペレーターがプロビジョニングします: Splunk HEC、Microsoft Sentinel（Logs Ingestion / DCR）、Datadog Logs、New Relic、または汎用 HTTPS コレクター。エンジンが封印済みクレデンシャルを開いてトランスポートを所有します。レンダラーは状態もクレデンシャルも保持しないため、1つのインスタンスがすべてのテナントとシンクに対応します。

境界づけられたコンテキスト（率直に）

これは転送するのであって、保存はしません。シンクサブスクリプションを持たないテナントは no-op（何もしない）です。何もキューに入らず、カーソルは前進し続け、失われるものはありません。
転送はカーソルウォークから実行され、台帳の封印トランザクションの外側で動きます。ネットワーク書き込みが封印パスに居座ることはありません。
これはお使いのタワーへのプッシュであり、読み取り専用のポスチャエクスポートのプルとは別物です。タワー側の取り込みは対象外です。当社は公開された方言へレンダリングして配信します。

関連

Eventing — このモジュールがレンダリング先とする、耐久性のあるサブスクリプション面（リトライ/バックオフ、DLQ、カーソルリプレイ）。
Compliance — このストリームが補完する、封印済みで台帳由来の証拠パッケージ。
監査を Splunk へ転送する — ネイティブシンクをプロビジョニングできない場合のファイルテール経路。
Honesty and limits — この面における「at-least-once」と「operator-provisioned（オペレーターがプロビジョニング）」の意味。