Syslog TLS (CEF ou JSON)

O que o conector faz

O TechWatchAlert envia para o seu coletor syslog, à medida que acontecem, os eventos de segurança da organização, por TCP cifrado com TLS: uma CVE que atinge um ativo, um nível de decisão que sobe, uma exploração assinalada, uma máquina corrigida, um caso reaberto, uma constatação de conformidade ou de superfície externa. O corpo vai em CEF (ArcSight, QRadar…) ou em JSON.

O que chega ao TechWatchAlert

• As vulnerabilidades detetadas, as mudanças de nível e de estado, as explorações assinaladas, os casos reabertos e as correções verificadas
• As máquinas que ficaram expostas ou foram corrigidas, as constatações de conformidade e de superfície externa
• Opcionalmente, as ações do registo de auditoria da organização
• Um esquema estável e versionado, com data e hora em UTC e um identificador de evento estável para eliminar duplicados

Configuração

1. Em Definições da organização › Segurança › SIEM, escolha Syslog (TLS)
2. Introduza o anfitrião e a porta do seu coletor (6514 por predefinição), o formato CEF ou JSON e, se necessário, a sua autoridade de certificação interna
3. Escolha os tipos de eventos, a gravidade mínima e os projetos, e clique em «Testar e guardar»: é enviado um evento de teste