Skip to content

Reenviar los eventos de seguridad a tu SIEM

Agrega un destino que reenvíe los eventos de auditoría firmados de tu tenant a tu propio SIEM o XDR, en CEF u OCSF, mediante Syslog, Splunk HEC, Microsoft Sentinel o un webhook firmado con HMAC.

Quién puede hacerlo

Un administrador del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant. La consola habilita Agregar destino y los controles de cada fila solo para quien tiene el permiso para gestionar los destinos de reenvío del tenant; quien solo puede leer los ve deshabilitados.

Antes de empezar

  • La edición de tu tenant incluye el reenvío a SIEM/XDR. En un despliegue operado por el cliente, además, el operador de la plataforma debe habérselo delegado a tu tenant.
  • Ten listos los datos del colector: el host y el puerto para Syslog, el endpoint HTTPS para los demás sumideros, y la credencial del sumidero (un token de HEC, un secreto de cliente de Azure AD o una clave de firma de webhook de al menos 32 caracteres). Syslog no usa ninguna credencial.
  • Los destinos que agregas reciben los eventos además de los destinos propios del despliegue, nunca en su lugar.

Pasos

  1. Abre Configuración y selecciona la pestaña Integraciones.
  2. En la fila Reenvío a SIEM/XDR, selecciona Gestionar. El panel lista los destinos del despliegue que siempre reciben tus eventos y los destinos propios de tu tenant.
  3. Selecciona Agregar destino y luego elige el tipo de sumidero en Elige un tipo de sumidero.
  4. Completa el formulario:
    1. Nombre: único entre los destinos de tu tenant.
    2. Formato de transporte: CEF u OCSF.
    3. El transporte: Host, Puerto y Transporte Syslog (UDP, TCP o TLS sobre TCP) para Syslog; el Endpoint HTTPS y la credencial para los demás sumideros.
    4. De forma opcional, Anclas de confianza TLS (PEM, opcional) para un colector detrás de tu propia autoridad de certificación, y los filtros para acotar lo que se reenvía.
  5. Selecciona Guardar.
  6. Para un webhook, copia el secreto del receptor que ahora muestra el diálogo con Copiar el secreto del receptor y luego selecciona Listo. Se muestra una sola vez.

Para cambiar o detener un destino más adelante, usa Editar, Deshabilitar o Eliminar en su fila.

Qué ves cuando funcionó

La consola confirma que se creó el destino y lo lista entre los destinos de tu tenant como habilitado. También aparece en Destinos efectivos para este tenant, junto a los destinos del despliegue. La credencial se sella y solo se muestra como configurada, nunca como un valor.

Si falla

Qué ves Causa Qué hacer
Se rechaza el nombre porque ya está en uso Tu tenant ya tiene un destino con ese nombre Elige otro nombre
Se rechaza el secreto del webhook: "Al menos 32 caracteres." La clave de firma es demasiado corta Escribe una clave de al menos 32 caracteres
Se rechaza un ancla de confianza No es una autoridad de certificación, venció o no es un certificado PEM Pega los certificados de la CA, no el certificado propio del colector
Se rechaza un cambio de host, puerto o anclas de confianza Mover un destino requiere de nuevo su credencial Escribe la credencial en la misma edición
La fila indica que tu acceso no incluye gestionar el reenvío Solo tienes el permiso de lectura Pídeselo a un administrador del tenant
La fila indica que el operador no delegó el reenvío a SIEM/XDR Despliegue operado por el cliente sin delegación Pide a tu operador de la plataforma que lo delegue

Una persona que trabaja dentro de tu tenant con acceso de soporte no puede agregar, cambiar ni eliminar un destino.

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/event-forwarding/destinations (operación createDestination)
API PUT /api/v3/admin/tenants/{tenantId}/event-forwarding/destinations/{id} (operación replaceDestination), que también lo habilita o deshabilita
API DELETE /api/v3/admin/tenants/{tenantId}/event-forwarding/destinations/{id} (operación deleteDestination)

Relacionado