Ingestion de fournisseur externe

Indépendant du fournisseur

Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.

Contrôlé par le client

Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.

Fraîcheur suivie

Each connector instance updates setup health after successful ingestion or repeated failures.

Configuration

Créez une clé API avec ingest:external_findings.
POST des résultats indépendants du fournisseur pour /api/v1/ingest/external-findings.
Utilisez une écurie provider et connector_instance pour la fraîcheur, la déduplication et le dépannage.
Conserver l'objet fournisseur d'origine dans raw_payload pour l’audit et les futures mises à niveau de l’adaptateur.

Exemple de charge utile

{
  "provider": "generic",
  "connector_instance": "external-prod",
  "format": "blackshield_external_v1",
  "findings": [
    {
      "external_id": "provider-finding-001",
      "title": "Public storage bucket",
      "severity": "high",
      "status": "open",
      "finding_type": "misconfiguration",
      "resource": {
        "type": "storage_bucket",
        "id": "arn:aws:s3:::customer-data",
        "cloud_provider": "aws",
        "account_id": "123456789012",
        "region": "us-east-1"
      },
      "source_url": "https://provider.example/findings/001",
      "raw_payload": { "provider_object_id": "provider-finding-001" }
    }
  ]
}

SIEM & SOC Alert Stream Ingestion

En plus des exportations planifiées de recherche de fournisseur, les SIEM externes (Splunk, Datadog, Elastic, Microsoft Sentinel) peuvent diffuser des alertes brutes ou corrélées directement dans BlackShield via POST /api/v1/ingest/siem:

{
  "source": "splunk-es",
  "alerts": [
    {
      "rule_name": "Multiple Failed Logins Followed by Success",
      "severity": "high",
      "target_user": "admin@example.com",
      "source_ip": "198.51.100.42"
    }
  ]
}

Les charges utiles sont reconnues avec HTTP 202 Accepté et un IngestionJobAcceptedResponse enveloppe. Les agents en arrière-plan normalisent les alertes en résultats unifiés et les corrèlent aux actifs existants.

Contrôles de réussite

Le point de terminaison renvoie 202 avec un identifiant de tâche d'ingestion.
Le travail se termine avec les résultats créés ou mis à jour.
Un travail en file d'attente peut être en attente de récupération automatique. BlackShield réessaye les échecs récupérables pendant 24 heures maximum. Conservez l'identifiant de la tâche d'origine pour suivre son résultat.
Nouvelles tentatives d'envoi de notifications de manière indépendante : un webhook retardé n'annule pas les résultats enregistrés. Les tâches ayant échoué affichent une erreur finale ; BlackShield conserve les preuves de quarantaine pendant 90 jours afin que les opérateurs puissent enquêter.
La carte du fournisseur dans Connections affiche la fraîcheur récente de l’instance de connecteur.
La source de recherche inclut le fournisseur, l'instance de connecteur, l'URL source et la provenance de la charge utile brute.