Dettagli tecnici delle integrazioni
Accesso e contesto
Integrazioni → Technical details apre i controlli di supporto per Platform admin. Per una nuova sorgente usare il wizard; il pannello tecnico permette di leggere e intervenire sui componenti sottostanti del tenant selezionato.
Prima di modificare un oggetto controlla tenant, Data Plane assegnato, canale/controller e ultima osservazione. La pagina distingue configurazione, salute amministrativa e risorse runtime. Un errore di caricamento non equivale a un catalogo vuoto.
Tenant Provisioning
| Campo | Significato |
|---|---|
| Tenant | Tenant da predisporre, obbligatorio. |
| Display name | Nome descrittivo del runtime. |
| Control-plane tenant id | Identità della Console associata al tenant runtime. |
| Requested by | Identità dichiarata dell'operatore/intervento; verificare il valore proposto. |
| Note | Contesto dell'intervento. |
| Ingest mode | manual_vector, shared_resolver_ingest, orchestrated_vector_dev; iniziale UI manual_vector. |
| Activation mode | manual, auto, none; iniziale UI manual. |
| Search / Detection | Capacità richieste; iniziali UI attive. |
Il profilo iniziale di questo modulo tecnico è distinto dai default del nuovo wizard Organizations. Leggere stato provisioning, ingest e capacità dopo il comando. Il semplice aggiornamento dello stato sincronizza la lettura; non installa una nuova destinazione. La tabella espone anche Disable e Deprovision: sono comandi sul tenant runtime, descritti nel riferimento di provisioning, non la cancellazione della sola riga visualizzata.
Resolver mappings
Il mapping associa il tenant a un controller condiviso e alla sua identità upstream.
| Campo | Regola |
|---|---|
| Provider | acronis o ubiquiti; iniziale acronis. Cambiarlo azzera controller e ID upstream dipendenti. |
| Shared controller | Controller attivo del Customer del tenant selezionato. |
| Upstream customer ID | Identità del Customer nella sorgente Acronis. |
| Upstream entity ID | Identità dell'entità/sito della sorgente, in particolare Ubiquiti. |
| Aliases CSV | Alias separati da virgole. |
| Status | active, disabled, deprovisioned; iniziale UI active. |
Se non ci sono controller, controllare prima Customer e stato del controller. Non inserire un codice Console al posto dell'ID upstream. Per gestione del controller, inventario e certificati vedi Acronis e Ubiquiti.
Canali ingest
| Campo | Configurazione |
|---|---|
| Channel ID | Identificatore obbligatorio del canale. |
| Source type | generic_syslog, ubiquiti_tenant_cef, http_json secondo modalità; iniziale UI http_json. |
| Mode | manual_vector, orchestrated_vector_dev, shared_syslog_gateway; iniziale manual_vector. |
| Activation mode | manual, auto, none; iniziale manual. |
| Note | Annotazione facoltativa. |
Il gateway condiviso ammette per nuovi canali Generic Syslog e Ubiquiti tenant CEF. Passando a shared_syslog_gateway da una sorgente incompatibile, il modulo seleziona generic_syslog e converte l'attivazione manual in auto. Ricontrolla i campi prima di salvare. Il tipo fortigate_syslog resta contemplato per canali preesistenti, non è una nuova opzione equivalente in ogni selettore.
La risposta del canale fornisce host, porta, protocollo e stato. Il canale condiviso non identifica da solo la sorgente autorizzata: verificare anche il binding.
Binding UDP Syslog
| Campo | Compilazione e dipendenze |
|---|---|
| Binding ID | Obbligatorio; il modulo nuovo propone bind-udp-primary, da verificare rispetto al canale. |
| Source type | generic_syslog o ubiquiti_tenant_cef; il percorso di canali Fortigate esistenti include anche fortigate_syslog. |
| UDP identity | sourceIp (iniziale) oppure sourceCidr. Determina quale campo viene inviato. |
| Source IP | Obbligatorio se identity è sourceIp; indirizzo usato per l'associazione. |
| Source CIDR | Obbligatorio se identity è sourceCidr; rete autorizzata in notazione CIDR. |
| Configured source IP | Metadato dell'indirizzo configurato lato mittente. |
| Observed source IP | Metadato dell'indirizzo osservato dal gateway. Non sostituisce automaticamente l'identità di binding. |
| Expected version | Intero non negativo, se disponibile, per proteggere l'aggiornamento da cambiamenti concorrenti. La UI omette un valore vuoto o non valido: verificare di aver riportato la versione corrente quando si modifica un binding. |
| Requested by | Obbligatorio; attribuzione dell'intervento. |
| Reason / Note | Motivazione e dettaglio dell'intervento; sostituire eventuali testi di esempio del modulo con il contesto reale. |
Il salvataggio crea o aggiorna il binding sul canale selezionato e sul Data Plane del tenant, richiedendo lo stato active; non richiede che il binding esista già. Per Ubiquiti tenant CEF viene qualificato il perimetro unique_tenant_sender. Dopo il salvataggio vengono riletti runtime condiviso e salute amministrativa; leggere questi risultati, non solo il messaggio di richiesta accettata.
Token di servizio per ricerca log
Questi token servono alla comunicazione operativa della piattaforma, non costituiscono una funzionalità API pubblica per gli utenti.
| Campo | Regola |
|---|---|
| Token ID | Obbligatorio in creazione; sola lettura in rotazione. |
| Principal ID | Obbligatorio; iniziale UI oc-control-plane-log-search. Il tipo principal è service. |
| Scope | Unica opzione offerta: logs:read. |
| Expiry date and time | Data/ora futura nel fuso locale del browser, formato DD/MM/YYYY HH:mm:ss. Obbligatoria in creazione; vuota in rotazione mantiene la scadenza attuale. |
| Requested by | Obbligatorio. |
| Reason | Motivazione facoltativa. |
Il Control Plane genera e custodisce il bearer secret. Rotate service token genera un nuovo segreto e sostituisce la copia custodita dal Control Plane. Rileggere stato e scadenza e verificare la capacità di ricerca dopo l'intervento.
Revoke, nella riga del token, richiede la revoca della credenziale selezionata. Non è una rotazione: non genera il sostituto e può interrompere l'accesso che usa quel token. Controlla identità, stato e scadenza prima dell'azione e rileggi il risultato dopo la richiesta.
Il controllo di riparazione dell'accesso logs:read mantiene una chiave dell'operazione per il recupero. Dopo un errore verificare lo stato del tenant e riprovare la stessa richiesta, evitando creazioni ripetute di credenziali.
Alert delivery
Configura la consegna degli alert dal runtime alla piattaforma. L'azione di configurazione è distinta dalla rotazione del segreto di un endpoint già esistente.
| Campo | Valore e uso |
|---|---|
| Mode | hmac_sha256, unica opzione. |
| Requested by | Obbligatorio; attribuzione della modifica. |
| Reason | Motivazione facoltativa. |
| Source types CSV | Obbligatorio; tipi separati da virgole. Valore iniziale UI: graylog, elastic, edr, xdr, other. Gli elementi sono ripuliti dagli spazi. |
| Rate limit per minute | Limite numerico opzionale inviato al runtime; verificare il valore nell'esito applicato. |
| Runtime enabled | Iniziale UI attivo; abilitazione desiderata della consegna. |
| Traffic profile | Iniziale UI disattivo; abilita il profilo alert-traffic-event/v1. In rotazione il controllo è disabilitato e mantiene il profilo caricato dall'endpoint esistente. |
Controllare endpoint associato, Data Plane, configurazione runtime e rilettura. Un endpoint presente non dimostra che la consegna sia attiva né che l'ultimo evento sia recente. La rotazione usa l'endpoint esistente e la destinazione assegnata; se mancano, risolvere prima il contesto.
Disable, nella scheda Alert delivery, richiede la disabilitazione della consegna per l'endpoint del tenant e il relativo Data Plane. È distinto sia dalla rotazione del segreto sia dallo spegnimento di una singola regola Detection. Verificare il valore enabled riletto e gli eventuali errori del runtime.
Controller e associazioni
I moduli tecnici Acronis/Ubiquiti riprendono i campi controller. Qui compare anche Requested by, per attribuire la richiesta. Gli attachment Ubiquiti richiedono Controller e Upstream entity ID, con Aliases CSV e stato mapped/disabled. Delete nella tabella degli attachment rimuove l'associazione selezionata per il tenant; non è il comando di disattivazione dell'intero controller condiviso.
Policy runtime
Il modulo tecnico espone l'invio di una specifica di detection già definita. Per costruire e comprendere una regola usare prima Detection.
| Campo | Significato |
|---|---|
| Kind | batch, live-ioc, live-keyword: famiglia runtime della policy. |
| Policy ID / Version | Identità e versione della policy da applicare. |
| Source type | native_policy o defense_object: origine della specifica. |
| Source ID / Source version | Identità e versione dell'oggetto origine, distinte dalla policy runtime. |
| Rollout state | visible_but_disabled, test, canary, active. |
| Adoption state | suggested, adopted, rejected, suspended. |
| Requested by / Reason | Attribuzione e motivazione dell'intervento. |
| Spec JSON | Specifica JSON coerente con Kind e con il contratto della regola. JSON sintatticamente valido non garantisce una policy semanticamente valida. |
Dopo l'applicazione controllare versione, stato e readback delle associazioni. Il rollout desiderato non sostituisce la verifica nel runtime.
Disable nella riga di una Detection policy indirizza la coppia Kind/Policy ID del tenant corrente. Rileggere stato e materializationStatus per verificare l'esito; la disabilitazione della policy è distinta dalla disabilitazione dell'endpoint Alert delivery.
Il modulo nuovo propone live-ioc, policy e source version 1, origine native_policy, rollout active e adozione adopted. Questi default richiedono attenzione: la compilazione non nasce necessariamente come bozza disabilitata. Policy ID, Source ID, versioni, Requested by e Spec JSON sono obbligatori; Reason è facoltativo.
I limiti imposti dal Data Plane vanno verificati nei suoi esiti; i default possono variare tra deployment.