Conexões

Ingestão de provedor externo

Envie as descobertas do provedor para o BlackShield sem fornecer credenciais de nuvem de longa duração ao BlackShield.

Agnóstico de provedor

Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.

Controlado pelo cliente

Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.

Frescura rastreada

Each connector instance updates setup health after successful ingestion or repeated failures.

Configuração

  • Crie uma chave de API com ingest:external_findings.
  • POST descobertas neutras do provedor para /api/v1/ingest/external-findings.
  • Use um estábulo provider e connector_instance para atualização, desduplicação e solução de problemas.
  • Preservar o objeto provedor original em raw_payload para auditoria e atualizações futuras do adaptador.

Exemplo de carga útil

{
  "provider": "generic",
  "connector_instance": "external-prod",
  "format": "blackshield_external_v1",
  "findings": [
    {
      "external_id": "provider-finding-001",
      "title": "Public storage bucket",
      "severity": "high",
      "status": "open",
      "finding_type": "misconfiguration",
      "resource": {
        "type": "storage_bucket",
        "id": "arn:aws:s3:::customer-data",
        "cloud_provider": "aws",
        "account_id": "123456789012",
        "region": "us-east-1"
      },
      "source_url": "https://provider.example/findings/001",
      "raw_payload": { "provider_object_id": "provider-finding-001" }
    }
  ]
}

SIEM & SOC Alert Stream Ingestion

Além das exportações programadas de localização de provedores, SIEMs externos (Splunk, Datadog, Elastic, Microsoft Sentinel) podem transmitir alertas brutos ou correlacionados diretamente para o BlackShield via POST /api/v1/ingest/siem:

{
  "source": "splunk-es",
  "alerts": [
    {
      "rule_name": "Multiple Failed Logins Followed by Success",
      "severity": "high",
      "target_user": "admin@example.com",
      "source_ip": "198.51.100.42"
    }
  ]
}

As cargas úteis são reconhecidas com HTTP 202 Aceito e um IngestionJobAcceptedResponse envelope. Os trabalhadores em segundo plano normalizam os alertas em descobertas unificadas e os correlacionam com os ativos existentes.

Verificações de sucesso

  • O ponto final retorna 202 com um ID de trabalho de ingestão.
  • A tarefa é concluída com descobertas criadas ou atualizadas.
  • Um trabalho na fila pode estar aguardando recuperação automática. O BlackShield tenta novamente falhas recuperáveis por até 24 horas. Mantenha o ID do trabalho original para acompanhar seu resultado.
  • A entrega de notificação tenta novamente de forma independente: um webhook atrasado não desfaz as descobertas salvas. Os trabalhos com falha mostram um erro final; O BlackShield retém evidências de quarentena por 90 dias para que os operadores possam investigar.
  • O cartão do provedor no Connections mostra a atualização recente da instância do conector.
  • A fonte de descoberta inclui provedor, instância do conector, URL de origem e origem da carga útil bruta.
Ingestão de provedor externo