--- title: 21. Eventos e conectores slug: 21-eventos-e-conectores docTags: createdAt: 2026-10-13T14:40:50.617Z --- *Receber e buscar eventos das plataformas de segurança, e o que isso muda na auditoria.* Todo o resto da plataforma pergunta e alguém responde. Aqui a plataforma **vai buscar** — ou **recebe** — o que a ferramenta de segurança está medindo de fato. :::hint{type="info"} Alguém responde "sim, temos MFA" e o sistema registra que alguém escreveu isso. O diretório mostra 71% de cobertura. A diferença entre o declarado e o medido vira achado sozinha, e é essa diferença que separa autoavaliação de auditoria. ::: *** ### O caminho | **Passo** | **O que acontece** | | ----------- | --------------------------------------------------------------------------------- | | A origem | SIEM, XDR, EDR, diretório, varredura de vulnerabilidade, nuvem, ITSM ou API livre | | A entrada | a plataforma busca de tempos em tempos, ou a origem empurra num endereço próprio | | O evento | normalizado na chegada, com o original guardado ao lado | | O indicador | muitos eventos viram um número | | A regra | compara o declarado com o medido e levanta o achado | O indicador é o passo que costuma ser esquecido. **Sem ele os eventos ficam guardados e não participam de apuração nenhuma** — a integração funciona, a tela mostra os eventos chegando, e nenhuma regra dispara. *** ### Buscar ou receber A escolha é de quem configura, e não do produto. **Buscar** é a plataforma indo atrás, com a credencial que você informa. Serve para quem não pode expor a origem, e é o caminho em que a falha aparece do lado de cá: a execução fica registrada com o erro que a origem devolveu. **Receber** é a origem empurrando para um endereço próprio, autenticado por uma chave. Serve para quem já tem a origem sabendo empurrar, e evita guardar credencial de terceiro aqui dentro — o que é especialmente relevante em nuvem. A chave aparece **uma única vez**, no momento da ativação. Chave que a tela mostra de novo é chave que vaza pelo print, pelo backup do banco e pela captura do suporte. *** ### O conector é catálogo, não código Trinta conectores vêm prontos, agrupados por categoria, e um fornecedor novo entra por cadastro e não por atualização do produto. O que muda de um SIEM para outro não é o protocolo — os dois falam REST com JSON —, e sim a URL, a forma de autenticar e onde os campos moram dentro da resposta. Quando o produto que você usa não está na lista, **API livre** e **Webhook livre** são o mesmo motor com os campos em branco: você informa o endereço, o cabeçalho de autorização e o caminho de cada campo. :::hint{type="info"} **Sobre os logotipos.** Cada conector traz um selo com a sigla sobre a cor da marca. A plataforma não embarca o logotipo oficial de terceiros: marca registrada não se redistribui dentro de um produto vendido, e uma aproximação desenhada por nós seria pior que nenhuma. O cadastro do conector aceita o endereço do arquivo oficial, e ele entra no lugar do selo. ::: *** ### Conectar uma origem, passo a passo Em **Automação ▸ Eventos e conectores** (ver pede integracao\:ler): 1.     Clique em **Nova integração**. Em **Escolha a origem**, procure pelo nome do produto (Splunk, Falcon, Sentinel, Entra…) ou percorra as categorias, e clique no conector. Não achou? Use **API livre** ou **Webhook livre**. 2.     Em **Conectar …**, se o conector aceitar os dois modos, escolha em **Como os eventos chegam**: **A plataforma busca** ou **A origem empurra**. 3.     Preencha **Nome desta integração**, **A que alvo os eventos se referem** (em branco vale para a **Organização inteira**) e, na busca, **De quanto em quanto tempo buscar (minutos)** — mínimo 5. 4.     Preencha os campos do conector (endereço, credencial…). O que for secreto não volta a ser exibido. Clique em **Criar como rascunho**; enquanto faltar campo obrigatório, a tela diz qual. 5.     Na integração aberta, clique em **Testar contra a origem** (só no modo busca) e confira como os três primeiros eventos ficariam. 6.     Clique em **Ativar**. No modo recebimento, a tela mostra o **Endereço** e o **Cabeçalho** (X-Integracao-Chave) para configurar do lado da origem — a chave aparece só agora. 7.     Em **Indicadores**, clique em **+ indicador**, preencha **Código** (exatamente como a regra escreve dentro de MED(), ex.: mfa.cobertura), **Como se lê**, **Como muitos eventos viram um número**, o filtro de categoria (opcional) e **Janela (dias)**, e clique em **Criar indicador**. Na lista, cada cartão tem **Abrir**, **Coletar agora** (no modo busca, depois de sair do rascunho: busca fora do intervalo) e **Pausar** (quando ativa). O quadro **O que está sendo medido agora** mostra os números que o motor de regras recebe na apuração. Dentro da integração ficam também **Últimos eventos** e **Execuções**, e **Excluir**. *** ### Regras de log: de texto a achado Para log, que é texto, o indicador não basta. Na integração aberta, em **Regras de log**: 1.     Clique em **+ regra** e preencha **Nome da regra** e **O que procurar** — escrito como se diria a um analista; é o critério que o modelo de linguagem recebe junto com o log. 2.     Opcional: **Modelo de linguagem** (em branco usa o padrão), **Só estas severidades**, **Só estas categorias**, **Só logs que contenham** (filtro barato: o que não passa nem vai ao modelo) e **Confiança mínima**. 3.     Em **O que o achado faz**, escolha **Só achado**, **Não conformidade**, **Risco** ou **Não conformidade e risco**, e em **Plano de ação obrigatório?** mantenha **pela severidade** ou force sim ou não. 4.     Clique em **Experimentar nos últimos logs** para ver o que viraria achado, e só então em **Criar regra**. A regra avalia o que chega depois dela; a triagem roda a cada 30 segundos, e **Triar agora** adianta. Em **Achados das regras**, o achado aberto espera decisão: **Virar não conformidade**, **Virar risco**, **Não conformidade e risco** ou **Descartar**. Cada regra pode ser pausada, editada ou excluída na própria linha. *** ### Testar antes de ativar O teste **chama a origem de verdade** e mostra como os três primeiros eventos ficariam depois de normalizados. Ele não valida o formulário: a diferença entre "os campos estão preenchidos" e "a credencial funciona" é a diferença entre ativar uma integração e descobrir de madrugada que ela nunca funcionou. Por isso a integração nasce em **rascunho**. Preencher, testar, ativar — nessa ordem. *** ### Quando alguma coisa dá errado O estado **pausada** é decisão de quem opera; **erro** é acidente. Colapsar os dois em "inativa" faria a falha de madrugada ficar indistinguível de uma pausa deliberada. Cada execução fica registrada com o que a origem respondeu, traduzido: "a credencial foi aceita mas não tem permissão para esta consulta" diz o que fazer; "403" não diz. Integração que falha em silêncio é pior do que integração que não existe — a ausência de evento parece ausência de problema, e o painel fica verde justamente porque parou de receber. *** ### A janela do indicador Medição sem prazo mente dos dois lados. Um evento de dois anos atrás não descreve o controle de hoje; uma janela curta demais devolve nada sempre que a origem fica um dia em silêncio — e nada, numa regra de confronto, é indistinguível de conformidade. Indicador sem evento na janela **não aparece** no mapa de medições, e isso é diferente de aparecer com zero. Zero é uma medição: diria que a cobertura de MFA é zero por cento. *** ### Segurança As credenciais são cifradas com AES-GCM. A chave vem da variável de ambiente GRC\_INTEGRACAO\_CHAVE; sem ela, uma chave é gerada e guardada na configuração, o que funciona e é um degrau abaixo — quem tem o banco tem a chave. A tela avisa quando esse é o caso. O endereço de recebimento é público por necessidade: quem chama é um SIEM às três da manhã, e exigir token de pessoa seria exigir que alguém estivesse acordado para renová-lo. Ele se autentica pela própria chave, que vai no cabeçalho e nunca na URL — URL aparece em log de proxy, em histórico e em relatório de erro. Reentrega não duplica. Todo webhook reentrega, por retentativa e por tempo esgotado, e a plataforma reconhece o evento pelo identificador da origem. Sem isso a mesma ocorrência contaria duas vezes numa medição que continuaria plausível.