Aufnahme durch externe Anbieter

Anbieterunabhängig

Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.

Vom Kunden kontrolliert

Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.

Frische verfolgt

Each connector instance updates setup health after successful ingestion or repeated failures.

Konfiguration

Erstellen Sie einen API-Schlüssel mit ingest:external_findings.
POST anbieterneutrale Ergebnisse an /api/v1/ingest/external-findings.
Benutzen Sie einen Stall provider Und connector_instance für Aktualität, Deduplizierung und Fehlerbehebung.
Behalten Sie das ursprüngliche Anbieterobjekt in bei raw_payload für Audits und zukünftige Adapter-Upgrades.

Beispielnutzlast

{
  "provider": "generic",
  "connector_instance": "external-prod",
  "format": "blackshield_external_v1",
  "findings": [
    {
      "external_id": "provider-finding-001",
      "title": "Public storage bucket",
      "severity": "high",
      "status": "open",
      "finding_type": "misconfiguration",
      "resource": {
        "type": "storage_bucket",
        "id": "arn:aws:s3:::customer-data",
        "cloud_provider": "aws",
        "account_id": "123456789012",
        "region": "us-east-1"
      },
      "source_url": "https://provider.example/findings/001",
      "raw_payload": { "provider_object_id": "provider-finding-001" }
    }
  ]
}

SIEM & SOC Alert Stream Ingestion

Zusätzlich zu den geplanten Exporten der Anbietersuche können externe SIEMs (Splunk, Datadog, Elastic, Microsoft Sentinel) rohe oder korrelierte Warnungen direkt in BlackShield streamen POST /api/v1/ingest/siem:

{
  "source": "splunk-es",
  "alerts": [
    {
      "rule_name": "Multiple Failed Logins Followed by Success",
      "severity": "high",
      "target_user": "admin@example.com",
      "source_ip": "198.51.100.42"
    }
  ]
}

Payloads werden mit HTTP 202 Accepted und an bestätigt IngestionJobAcceptedResponse Umschlag. Hintergrundarbeiter normalisieren Warnungen in einheitliche Ergebnisse und korrelieren sie mit vorhandenen Assets.

Erfolgskontrollen

Der Endpunkt gibt 202 mit einer Aufnahmejob-ID zurück.
Der Job wird mit erstellten oder aktualisierten Ergebnissen abgeschlossen.
Ein Job in der Warteschlange wartet möglicherweise auf die automatische Wiederherstellung. BlackShield versucht behebbare Fehler bis zu 24 Stunden lang erneut. Behalten Sie die ursprüngliche Job-ID, um das Ergebnis zu verfolgen.
Die Zustellung der Benachrichtigung wird unabhängig wiederholt: Ein verzögerter Webhook macht gespeicherte Ergebnisse nicht rückgängig. Bei fehlgeschlagenen Jobs wird ein endgültiger Fehler angezeigt. BlackShield bewahrt Quarantänebeweise 90 Tage lang auf, damit die Betreiber Untersuchungen durchführen können.
Die Anbieterkarte in Connections zeigt die aktuelle Aktualität für die Connector-Instanz an.
Die Suchquelle umfasst Anbieter, Connector-Instanz, Quell-URL und Herkunft der Rohnutzlast.