与提供商无关
Use one endpoint for CSPM, CNAPP, endpoint, vulnerability, and SaaS security provider exports.
客户控制
Customers own the webhook, relay, or export job. BlackShield receives normalized findings by API key.
新鲜度追踪
Each connector instance updates setup health after successful ingestion or repeated failures.
配置
- 使用以下命令创建 API 密钥
ingest:external_findings. - 将提供商中立的调查结果发布到
/api/v1/ingest/external-findings. - 使用稳定的
provider和connector_instance用于新鲜度、重复数据删除和故障排除。 - 保留原始提供者对象
raw_payload用于审计和未来的适配器升级。
示例有效负载
{
"provider": "generic",
"connector_instance": "external-prod",
"format": "blackshield_external_v1",
"findings": [
{
"external_id": "provider-finding-001",
"title": "Public storage bucket",
"severity": "high",
"status": "open",
"finding_type": "misconfiguration",
"resource": {
"type": "storage_bucket",
"id": "arn:aws:s3:::customer-data",
"cloud_provider": "aws",
"account_id": "123456789012",
"region": "us-east-1"
},
"source_url": "https://provider.example/findings/001",
"raw_payload": { "provider_object_id": "provider-finding-001" }
}
]
}SIEM & SOC Alert Stream Ingestion
除了预定的提供商查找导出之外，外部 SIEM（Splunk、Datadog、Elastic、Microsoft Sentinel）还可以通过以下方式将原始或相关警报直接流式传输到 BlackShield： POST /api/v1/ingest/siem:
{
"source": "splunk-es",
"alerts": [
{
"rule_name": "Multiple Failed Logins Followed by Success",
"severity": "high",
"target_user": "admin@example.com",
"source_ip": "198.51.100.42"
}
]
}有效负载通过 HTTP 202 Accepted 和 IngestionJobAcceptedResponse 信封。后台工作人员将警报标准化为统一的结果，并将其与现有资产关联起来。
成功检查
- 端点返回 202 以及摄取作业 ID。
- 作业完成时会创建或更新结果。
- 排队的作业可能正在等待自动恢复。 BlackShield 会在长达 24 小时内重试可恢复的故障。保留原始作业 ID 以跟踪其结果。
- 通知传送独立重试：延迟的 Webhook 不会撤消已保存的结果。失败的作业显示最终错误； BlackShield 会将隔离证据保留 90 天，以便操作员进行调查。
- Connections 中的提供商卡显示连接器实例的最新动态。
- 查找源包括提供程序、连接器实例、源 URL 和原始负载来源。