S3

Armazenando notificações no S3

Use um bucket AWS S3 como destino de notificação para arquivar alertas como arquivos CSV. Isso é útil para armazenamento de longo prazo, requisitos de conformidade e integração com sistemas SIEM ou de agregação de logs.

O cside envia um CSV por hora, chamado alerts-team-<team_id>-<from>-<to>.csv, sob o prefixo de caminho que você configurar. Uma hora sem alertas não gera arquivo.

Configurando um destino S3

1. Abra o painel e navegue até Team Settings > Notifications
2. Crie uma nova notification config ou edite uma existente
3. Em Send To, clique em Add destination e selecione S3
4. No painel de Configuration, insira os detalhes do seu bucket S3:
   • S3 Bucket Name: o nome do seu bucket AWS S3
   • Region: a região AWS onde seu bucket está localizado
   • Path (opcional): um prefixo de caminho dentro do bucket para organizar os arquivos
5. Clique em Save ou Save & Test

Política do bucket S3

Você precisa conceder permissão ao cside para escrever no seu bucket S3. Aplique a seguinte política de bucket nas configurações do seu bucket S3:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCsideNotificationExport",
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": "arn:aws:s3:::<your-bucket>/*",
      "Principal": {
        "AWS": ["arn:aws:iam::590183952644:role/prod-cside-notifications-engine-sa-role"]
      }
    }
  ]
}

Formato do alerta

Cada arquivo é um CSV com uma linha de cabeçalho e uma linha por alerta, nestas 17 colunas:

Coluna	Descrição
domain_id	ID cside do domínio em que o alerta disparou.
timestamp	Quando o alerta disparou.
trigger_type	O gatilho que gerou o alerta.
domain	O domínio em que o alerta disparou.
target_type	O que target contém, URL ou HASH.
target	O objeto do alerta: uma URL de script ou um hash de script.
action	A ação registrada para o alerta.
ruleset_id	ID do ruleset correspondente.
ruleset_name	Nome do ruleset correspondente.
script_url_1, script_url_2, script_url_3	As três primeiras URLs de script que dispararam o alerta. Uma quarta URL ou posterior não é exportada.
vuln_cve_id	ID do CVE, para alertas de vulnerabilidade.
vuln_package	Pacote afetado.
vuln_version	Versão afetada.
vuln_severity	Severidade informada.
vuln_reference_url	URL de referência da vulnerabilidade.

Os arquivos de alerta contêm apenas metadados. Não contêm dados de fingerprint nem do Device Intelligence, e nenhum corpo bruto de script.