21. Eventos e conectores

Receber e buscar eventos das plataformas de segurança, e o que isso muda na auditoria.

Todo o resto da plataforma pergunta e alguém responde. Aqui a plataforma vai buscar — ou recebe — o que a ferramenta de segurança está medindo de fato.



O indicador é o passo que costuma ser esquecido. Sem ele os eventos ficam guardados e não participam de apuração nenhuma — a integração funciona, a tela mostra os eventos chegando, e nenhuma regra dispara.

A escolha é de quem configura, e não do produto.

Buscar é a plataforma indo atrás, com a credencial que você informa. Serve para quem não pode expor a origem, e é o caminho em que a falha aparece do lado de cá: a execução fica registrada com o erro que a origem devolveu.

Receber é a origem empurrando para um endereço próprio, autenticado por uma chave. Serve para quem já tem a origem sabendo empurrar, e evita guardar credencial de terceiro aqui dentro — o que é especialmente relevante em nuvem.

A chave aparece uma única vez, no momento da ativação. Chave que a tela mostra de novo é chave que vaza pelo print, pelo backup do banco e pela captura do suporte.

Trinta conectores vêm prontos, agrupados por categoria, e um fornecedor novo entra por cadastro e não por atualização do produto. O que muda de um SIEM para outro não é o protocolo — os dois falam REST com JSON —, e sim a URL, a forma de autenticar e onde os campos moram dentro da resposta.

Quando o produto que você usa não está na lista, API livre e Webhook livre são o mesmo motor com os campos em branco: você informa o endereço, o cabeçalho de autorização e o caminho de cada campo.

Em Automação ▸ Eventos e conectores (ver pede integracao:ler):

1.     Clique em Nova integração. Em Escolha a origem, procure pelo nome do produto (Splunk, Falcon, Sentinel, Entra…) ou percorra as categorias, e clique no conector. Não achou? Use API livre ou Webhook livre.

2.     Em Conectar …, se o conector aceitar os dois modos, escolha em Como os eventos chegam: A plataforma busca ou A origem empurra.

3.     Preencha Nome desta integração, A que alvo os eventos se referem (em branco vale para a Organização inteira) e, na busca, De quanto em quanto tempo buscar (minutos) — mínimo 5.

4.     Preencha os campos do conector (endereço, credencial…). O que for secreto não volta a ser exibido. Clique em Criar como rascunho; enquanto faltar campo obrigatório, a tela diz qual.

5.     Na integração aberta, clique em Testar contra a origem (só no modo busca) e confira como os três primeiros eventos ficariam.

6.     Clique em Ativar. No modo recebimento, a tela mostra o Endereço e o Cabeçalho (X-Integracao-Chave) para configurar do lado da origem — a chave aparece só agora.

7.     Em Indicadores, clique em + indicador, preencha Código (exatamente como a regra escreve dentro de MED(), ex.: mfa.cobertura), Como se lê, Como muitos eventos viram um número, o filtro de categoria (opcional) e Janela (dias), e clique em Criar indicador.

Na lista, cada cartão tem Abrir, Coletar agora (no modo busca, depois de sair do rascunho: busca fora do intervalo) e Pausar (quando ativa). O quadro O que está sendo medido agora mostra os números que o motor de regras recebe na apuração. Dentro da integração ficam também Últimos eventos e Execuções, e Excluir.

Para log, que é texto, o indicador não basta. Na integração aberta, em Regras de log:

1.     Clique em + regra e preencha Nome da regra e O que procurar — escrito como se diria a um analista; é o critério que o modelo de linguagem recebe junto com o log.

2.     Opcional: Modelo de linguagem (em branco usa o padrão), Só estas severidades, Só estas categorias, Só logs que contenham (filtro barato: o que não passa nem vai ao modelo) e Confiança mínima.

3.     Em O que o achado faz, escolha Só achado, Não conformidade, Risco ou Não conformidade e risco, e em Plano de ação obrigatório? mantenha pela severidade ou force sim ou não.

4.     Clique em Experimentar nos últimos logs para ver o que viraria achado, e só então em Criar regra.

A regra avalia o que chega depois dela; a triagem roda a cada 30 segundos, e Triar agora adianta. Em Achados das regras, o achado aberto espera decisão: Virar não conformidade, Virar risco, Não conformidade e risco ou Descartar. Cada regra pode ser pausada, editada ou excluída na própria linha.

O teste chama a origem de verdade e mostra como os três primeiros eventos ficariam depois de normalizados. Ele não valida o formulário: a diferença entre "os campos estão preenchidos" e "a credencial funciona" é a diferença entre ativar uma integração e descobrir de madrugada que ela nunca funcionou.

Por isso a integração nasce em rascunho. Preencher, testar, ativar — nessa ordem.

O estado pausada é decisão de quem opera; erro é acidente. Colapsar os dois em "inativa" faria a falha de madrugada ficar indistinguível de uma pausa deliberada.

Cada execução fica registrada com o que a origem respondeu, traduzido: "a credencial foi aceita mas não tem permissão para esta consulta" diz o que fazer; "403" não diz. Integração que falha em silêncio é pior do que integração que não existe — a ausência de evento parece ausência de problema, e o painel fica verde justamente porque parou de receber.

Medição sem prazo mente dos dois lados. Um evento de dois anos atrás não descreve o controle de hoje; uma janela curta demais devolve nada sempre que a origem fica um dia em silêncio — e nada, numa regra de confronto, é indistinguível de conformidade.

Indicador sem evento na janela não aparece no mapa de medições, e isso é diferente de aparecer com zero. Zero é uma medição: diria que a cobertura de MFA é zero por cento.

As credenciais são cifradas com AES-GCM. A chave vem da variável de ambiente GRC_INTEGRACAO_CHAVE; sem ela, uma chave é gerada e guardada na configuração, o que funciona e é um degrau abaixo — quem tem o banco tem a chave. A tela avisa quando esse é o caso.

O endereço de recebimento é público por necessidade: quem chama é um SIEM às três da manhã, e exigir token de pessoa seria exigir que alguém estivesse acordado para renová-lo. Ele se autentica pela própria chave, que vai no cabeçalho e nunca na URL — URL aparece em log de proxy, em histórico e em relatório de erro.

Reentrega não duplica. Todo webhook reentrega, por retentativa e por tempo esgotado, e a plataforma reconhece o evento pelo identificador da origem. Sem isso a mesma ocorrência contaria duas vezes numa medição que continuaria plausível.