Ingestione di provider esterni

Fornitore indipendente

Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.

Controllato dal cliente

Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.

Freschezza monitorata

Each connector instance updates setup health after successful ingestion or repeated failures.

Configurazione

Crea una chiave API con ingest:external_findings.
POST risultati indipendenti dal fornitore a /api/v1/ingest/external-findings.
Usa una stalla provider E connector_instance per freschezza, deduplicazione e risoluzione dei problemi.
Conserva l'oggetto provider originale in raw_payload per controlli e futuri aggiornamenti dell'adattatore.

Carico utile del campione

{
  "provider": "generic",
  "connector_instance": "external-prod",
  "format": "blackshield_external_v1",
  "findings": [
    {
      "external_id": "provider-finding-001",
      "title": "Public storage bucket",
      "severity": "high",
      "status": "open",
      "finding_type": "misconfiguration",
      "resource": {
        "type": "storage_bucket",
        "id": "arn:aws:s3:::customer-data",
        "cloud_provider": "aws",
        "account_id": "123456789012",
        "region": "us-east-1"
      },
      "source_url": "https://provider.example/findings/001",
      "raw_payload": { "provider_object_id": "provider-finding-001" }
    }
  ]
}

SIEM & SOC Alert Stream Ingestion

Oltre alle esportazioni programmate di rilevamento dei provider, i SIEM esterni (Splunk, Datadog, Elastic, Microsoft Sentinel) possono trasmettere avvisi non elaborati o correlati direttamente in BlackShield tramite POST /api/v1/ingest/siem:

{
  "source": "splunk-es",
  "alerts": [
    {
      "rule_name": "Multiple Failed Logins Followed by Success",
      "severity": "high",
      "target_user": "admin@example.com",
      "source_ip": "198.51.100.42"
    }
  ]
}

I payload vengono riconosciuti con HTTP 202 Accepted e un IngestionJobAcceptedResponse busta. Gli operatori in background normalizzano gli avvisi in risultati unificati e li correlano con le risorse esistenti.

Verifiche di successo

L'endpoint restituisce 202 con un ID processo di acquisizione.
Il lavoro viene completato con i risultati creati o aggiornati.
Un lavoro in coda può essere in attesa di ripristino automatico. BlackShield riprova gli errori reversibili per un massimo di 24 ore. Conserva l'ID lavoro originale per seguirne l'esito.
La consegna della notifica riprova in modo indipendente: un webhook ritardato non annulla i risultati salvati. I lavori non riusciti mostrano un errore finale; BlackShield conserva le prove di quarantena per 90 giorni in modo che gli operatori possano indagare.
La scheda del provider in Connections mostra l'aggiornamento recente per l'istanza del connettore.
L'origine della ricerca include provider, istanza del connettore, URL di origine e provenienza del payload non elaborato.