プロバイダーに依存しない
Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.
顧客制御
Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.
鮮度の追跡
Each connector instance updates setup health after successful ingestion or repeated failures.
構成
- APIキーを作成するには
ingest:external_findings. - プロバイダーに依存しない結果を POST して、
/api/v1/ingest/external-findings. - 安定したものを使用する
providerそしてconnector_instance鮮度、重複排除、トラブルシューティングのために。 - 元のプロバイダー オブジェクトを保存します。
raw_payload監査と将来のアダプターのアップグレードに使用します。
サンプルペイロード
{
"provider": "generic",
"connector_instance": "external-prod",
"format": "blackshield_external_v1",
"findings": [
{
"external_id": "provider-finding-001",
"title": "Public storage bucket",
"severity": "high",
"status": "open",
"finding_type": "misconfiguration",
"resource": {
"type": "storage_bucket",
"id": "arn:aws:s3:::customer-data",
"cloud_provider": "aws",
"account_id": "123456789012",
"region": "us-east-1"
},
"source_url": "https://provider.example/findings/001",
"raw_payload": { "provider_object_id": "provider-finding-001" }
}
]
}SIEM & SOC Alert Stream Ingestion
スケジュールされたプロバイダー検索エクスポートに加えて、外部 SIEM (Splunk、Datadog、Elastic、Microsoft Sentinel) は、生のアラートまたは相関アラートを BlackShield に直接ストリーミングできます。 POST /api/v1/ingest/siem:
{
"source": "splunk-es",
"alerts": [
{
"rule_name": "Multiple Failed Logins Followed by Success",
"severity": "high",
"target_user": "admin@example.com",
"source_ip": "198.51.100.42"
}
]
}ペイロードは HTTP 202 Accepted で確認され、 IngestionJobAcceptedResponse 封筒。バックグラウンド ワーカーはアラートを正規化して統合された結果を生成し、それらを既存の資産と関連付けます。
成功チェック
- エンドポイントは、取り込みジョブ ID を含む 202 を返します。
- ジョブは作成または更新された結果で完了します。
- キューに入れられたジョブは自動回復を待っている可能性があります。 BlackShield は、回復可能な障害を最大 24 時間再試行します。結果を追跡するために、元のジョブ ID を保持します。
- 通知配信は個別に再試行されます。Webhook が遅延しても、保存された結果は取り消されません。失敗したジョブには最終エラーが表示されます。 BlackShield は検疫証拠を 90 日間保持し、オペレーターが調査できるようにします。
- Connections のプロバイダー カードには、コネクタ インスタンスの最近の最新性が表示されます。
- 検索ソースには、プロバイダー、コネクタ インスタンス、ソース URL、生のペイロードの出所が含まれます。