Ingestión de proveedores externos

Agnóstico del proveedor

Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.

Controlado por el cliente

Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.

Seguimiento de frescura

Each connector instance updates setup health after successful ingestion or repeated failures.

Configuración

Cree una clave API con ingest:external_findings.
PUBLICAR los hallazgos neutrales respecto del proveedor para /api/v1/ingest/external-findings.
Usa un establo provider y connector_instance para actualización, deduplicación y resolución de problemas.
Preservar el objeto proveedor original en raw_payload para auditoría y futuras actualizaciones del adaptador.

Carga útil de muestra

{
  "provider": "generic",
  "connector_instance": "external-prod",
  "format": "blackshield_external_v1",
  "findings": [
    {
      "external_id": "provider-finding-001",
      "title": "Public storage bucket",
      "severity": "high",
      "status": "open",
      "finding_type": "misconfiguration",
      "resource": {
        "type": "storage_bucket",
        "id": "arn:aws:s3:::customer-data",
        "cloud_provider": "aws",
        "account_id": "123456789012",
        "region": "us-east-1"
      },
      "source_url": "https://provider.example/findings/001",
      "raw_payload": { "provider_object_id": "provider-finding-001" }
    }
  ]
}

SIEM & SOC Alert Stream Ingestion

Además de las exportaciones programadas de búsqueda de proveedores, los SIEM externos (Splunk, Datadog, Elastic, Microsoft Sentinel) pueden transmitir alertas sin procesar o correlacionadas directamente a BlackShield a través de POST /api/v1/ingest/siem:

{
  "source": "splunk-es",
  "alerts": [
    {
      "rule_name": "Multiple Failed Logins Followed by Success",
      "severity": "high",
      "target_user": "admin@example.com",
      "source_ip": "198.51.100.42"
    }
  ]
}

Las cargas útiles se reconocen con HTTP 202 aceptado y un IngestionJobAcceptedResponse sobre. Los trabajadores en segundo plano normalizan las alertas en hallazgos unificados y los correlacionan con los activos existentes.

Comprobaciones de éxito

El punto final devuelve 202 con una identificación del trabajo de ingesta.
El trabajo se completa con hallazgos creados o actualizados.
Un trabajo en cola puede estar esperando recuperación automática. BlackShield reintenta fallas recuperables por hasta 24 horas. Mantenga la identificación del trabajo original para seguir su resultado.
La entrega de notificaciones se reintenta de forma independiente: un webhook retrasado no deshace los resultados guardados. Los trabajos fallidos muestran un error final; BlackShield conserva la evidencia en cuarentena durante 90 días para que los operadores puedan investigar.
La tarjeta de proveedor en Connections muestra la actualización reciente de la instancia del conector.
La fuente de búsqueda incluye el proveedor, la instancia del conector, la URL de origen y la procedencia de la carga útil sin procesar.