Envoyer des événements vers votre SIEM
Utilisez la carte SIEM dans Settings › Notification Channels pour envoyer des événements OpenLatch en HTTPS vers votre SIEM, sous forme d’événements OCSF 1.1.0. Avant de commencer, il vous faut le rôle admin ou supérieur, et un point d’accès d’ingestion HTTPS dans votre SIEM avec les identifiants qu’il accepte.
Ce que reçoit un SIEM
Section intitulée « Ce que reçoit un SIEM »| Section du panneau | Ce qu’elle envoie |
|---|---|
| Anomalies | Les actions d’agent qui enfreignent une politique d’intention, avec leur verdict |
| Audit trail | Chaque action d’admin, avec l’auteur et l’IP de la requête, en OCSF API Activity |
| Digests | Les rapports planifiés que vous cochez pour cette destination |
| Activity stream | Chaque événement que la console liste sur la page Events, Allow compris, envoyé par lots OCSF 1.1.0 |
Choisissez votre SIEM sous Which SIEM?. Chaque preset apporte son guide de configuration, ses champs de connexion et le format de corps qu’attend votre SIEM.
| Preset | Format de corps |
|---|---|
| Microsoft Sentinel | Tableau JSON |
| Splunk | Enveloppe Splunk HEC |
| IBM QRadar | Tableau JSON |
| Google SecOps | NDJSON |
| Cortex XSIAM | NDJSON |
| Elastic Security | Elastic bulk (NDJSON) |
| Generic HTTPS | Le format que vous choisissez : tableau JSON, NDJSON, enveloppe Splunk HEC ou Elastic bulk (NDJSON) |
Connecter un SIEM
Section intitulée « Connecter un SIEM »- Sur la carte SIEM, choisissez Configure.
- Sous Which SIEM?, choisissez le preset de votre SIEM. Son guide de configuration s’ouvre au-dessus des champs de connexion.
- Suivez le guide de configuration, puis remplissez Connection : l’URL d’ingestion et les identifiants.
- Choisissez ce que reçoit la destination : les anomalies, la piste d’audit, les synthèses et le flux d’activité. Enregistrez.
- Sous Send test event, envoyez un test, et vérifiez qu’il arrive et qu’il est analysé dans votre SIEM.
Le SIEM est fixé une fois le canal enregistré : pour passer à un autre SIEM, créez un nouveau canal.
Configurer Elastic Security
Section intitulée « Configurer Elastic Security »-
Créez une clé d’API dont le rôle accorde
create_docetauto_configuresurlogs-openlatch.*uniquement :{"openlatch-siem": {"index": [{"names": ["logs-openlatch.*"], "privileges": ["create_doc", "auto_configure"]}]}} -
Facultatif, recommandé : installez le modèle d’index OpenLatch, lié aussi depuis le guide de configuration, qui mappe l’horodatage et les objets OCSF.
-
Collez l’URL bulk de votre déploiement et la valeur d’en-tête
ApiKey <key>dans Connection. -
Envoyez un événement de test, et vérifiez qu’il arrive dans
logs-openlatch.siem-default.
Chaque événement part vers Elasticsearch comme un create bulk, avec le metadata.uid de l’événement comme identifiant de document : un événement renvoyé est donc refusé comme doublon dans le même index de stockage. Quand Elasticsearch ne peut pas mapper un événement, cet événement compte comme échoué avec l’indication « Elastic rejected the event mapping — install the OpenLatch index template ».
Diffuser l’activité de vos agents vers un SIEM
Section intitulée « Diffuser l’activité de vos agents vers un SIEM »Activez Stream activity to this channel dans la section Activity stream du panneau. Le flux commence à ce moment-là, et envoie chaque événement que la console liste, Allow compris. Les événements diffusés sont ceux que chaque agent rapporte, ce qui dépend de l’agent : voir Niveaux de contrôle.
| Réglage | Ce qu’il fait |
|---|---|
| Event types, Verdicts, Tools, Agents | Restreignent ce qui est diffusé, comme sur tout canal : voir Filtrer le flux |
| Send every | 1 min, 5 min, 30 min ou 1 h. Les événements sont mis en mémoire tampon et envoyés par lots quand l’intervalle arrive à échéance |
| Content | Send prompt text and tool input, désactivé par défaut, derrière une confirmation, comme sur un webhook personnalisé : voir Envoyer le contenu |
Chaque requête porte 100 événements et 900 000 octets au plus, dans le format de corps du preset. Avec le flux activé, Send test event envoie aussi un lot d’activité d’exemple, et montre les deux résultats quand ils diffèrent.
La livraison se fait au moins une fois : dédupliquez sur le metadata.uid de chaque événement, qui reste le même à chaque renvoi. Les événements de plus de 24 heures ne sont pas envoyés ; ils restent sur la page Events. Chaque ligne de canal montre quand le flux prend du retard ou s’arrête, comme sur tout canal : voir Lire le statut du flux.
Pour les champs de chaque événement, voir Événements du flux d’activité.