Enviar eventos a tu SIEM

Usa la tarjeta SIEM en Settings › Notification Channels para enviar eventos de OpenLatch por HTTPS a tu SIEM, como eventos OCSF 1.1.0. Antes de empezar, necesitas el rol admin o superior, y un punto de acceso de ingesta HTTPS en tu SIEM con las credenciales que acepta.

Qué recibe un SIEM

Sección del panel	Qué envía
Anomalies	Las acciones de agentes que infringen una política de intención, con su veredicto
Audit trail	Cada acción de un admin, con el autor y la IP de la solicitud, como OCSF API Activity
Digests	Los informes programados que marques para este destino
Activity stream	Cada evento que la consola lista en la página Events, incluido Allow, enviado en lotes OCSF 1.1.0

Presets

Elige tu SIEM en Which SIEM?. Cada preset trae su guía de configuración, sus campos de conexión y el formato de cuerpo que espera tu SIEM.

Preset	Formato de cuerpo
Microsoft Sentinel	Array JSON
Splunk	Sobre Splunk HEC
IBM QRadar	Array JSON
Google SecOps	NDJSON
Cortex XSIAM	NDJSON
Elastic Security	Elastic bulk (NDJSON)
Generic HTTPS	El formato que elijas: array JSON, NDJSON, sobre Splunk HEC o Elastic bulk (NDJSON)

Conectar un SIEM

1. En la tarjeta SIEM, elige Configure.
2. En Which SIEM?, elige el preset de tu SIEM. Su guía de configuración se abre encima de los campos de conexión.
3. Sigue la guía de configuración y completa Connection: la URL de ingesta y las credenciales.
4. Elige qué recibe el destino: las anomalías, el registro de auditoría, los resúmenes y el flujo de actividad. Guarda.
5. En Send test event, envía una prueba y comprueba que llega y se analiza en tu SIEM.

El SIEM queda fijado una vez guardado el canal: para cambiar a otro SIEM, crea un canal nuevo.

Configurar Elastic Security

Precaución

Las claves de API de Elastic Cloud solo llegan a Elasticsearch en Serverless cuando tienen acceso a Elasticsearch; en Hosted, crea la clave en Kibana.

1. Crea una clave de API cuyo rol conceda create_doc y auto_configure solo sobre logs-openlatch.*:

   {"openlatch-siem": {"index": [{"names": ["logs-openlatch.*"], "privileges": ["create_doc", "auto_configure"]}]}}

2. Opcional, recomendado: instala la plantilla de índice de OpenLatch, enlazada también desde la guía de configuración, que mapea la marca de tiempo y los objetos OCSF.

3. Pega la URL bulk de tu despliegue y el valor de cabecera ApiKey <key> en Connection.

4. Envía un evento de prueba y comprueba que llega a logs-openlatch.siem-default.

Cada evento va a Elasticsearch como un create bulk, con el metadata.uid del evento como identificador del documento, así que un evento reenviado se rechaza como duplicado dentro del mismo índice de respaldo. Cuando Elasticsearch no puede mapear un evento, ese evento cuenta como fallido con la indicación «Elastic rejected the event mapping — install the OpenLatch index template».

Transmitir la actividad de tus agentes a un SIEM

Activa Stream activity to this channel en la sección Activity stream del panel. El flujo empieza en ese momento y envía cada evento que la consola lista, incluido Allow. Los eventos transmitidos son los que reporta cada agente, lo que depende del agente: consulta Niveles de control.

Ajuste	Qué hace
Event types, Verdicts, Tools, Agents	Acotan lo que se transmite, como en cualquier canal: consulta Filtrar el flujo
Send every	1 min, 5 min, 30 min o 1 h. Los eventos se almacenan en búfer y se envían en lotes cuando vence el intervalo
Content	Send prompt text and tool input, desactivado de forma predeterminada, tras una confirmación, como en un webhook personalizado: consulta Enviar el contenido

Cada solicitud lleva 100 eventos y 900 000 bytes como máximo, en el formato de cuerpo del preset. Con el flujo activado, Send test event también envía un lote de actividad de ejemplo, y muestra ambos resultados cuando difieren.

La entrega es al menos una vez: deduplica con el metadata.uid de cada evento, que no cambia en ningún reenvío. Los eventos de más de 24 horas no se envían; se quedan en la página Events. Cada fila de canal muestra cuándo el flujo se retrasa o se detiene, como en cualquier canal: consulta Leer el estado del flujo.

Para los campos de cada evento, consulta Eventos del flujo de actividad.