Observabilidad
Se transmite cada evento a su SIEM, firmado y verificable.
Los eventos de auditoría y seguridad se envían en tiempo real a Splunk, Datadog, Elastic, Microsoft Sentinel, S3 WORM o syslog estándar. Cada evento se envuelve en un sobre JWT firmado sobre mTLS. Las reconexiones reenvían cualquier hueco; los drenajes se detienen con elegancia.
Caldyr
Splunk
Datadog
Elastic
Sentinel
S3 WORM
Syslog
Cómo funciona
1
Se emite el evento
Una fila de auditoría se firma y se difunde al emisor de SIEM.
2
Envuelto en JWT
Evento + firma de auditoría envueltos en un sobre JWS con clave por destino.
3
Enviado sobre mTLS
TLS mutuo hacia su destino. Sin texto plano, sin clave de API en tránsito.
4
Reenvío al reconectar
Los huecos se reenvían de forma automática desde el búfer duradero.
Análisis a fondo
Sobres firmados
Su destino verifica la firma JWS con nuestra clave pública: los eventos no se pueden falsificar en tránsito y su SIEM puede probar la procedencia durante una auditoría.
Garantías de entrega
Al menos una vez con IDs idempotentes. Contrapresión cuando su destino se ralentiza. El modo de drenaje vacía lo pendiente y luego se detiene limpiamente.
Destinos WORM / de cumplimiento
S3 Object Lock en modo gobernanza o cumplimiento para almacenamiento inmutable: los auditores obtienen prueba de retención sin configuración adicional.
Configurar un destino
config · yaml
sinks:
- name: splunk-prod
kind: splunk_hec
endpoint: https://splunk.acme.internal:8088
mtls:
cert_ref: vault://platform/splunk/client-cert
filters:
- action_prefix: audit.session → include
- action_prefix: audit.vault → include
- jsonpath: $.actor.role == "viewer" → exclude
delivery:
format: ecs
batch: 100
backoff: 2s → 30s
Su SIEM es la fuente de verdad: nosotros solo lo alimentamos, firmado.
Cuando llega la investigación de una vulneración, el auditor usa sus registros firmados, no los nuestros. Nosotros somos el mensajero.
Comparativa
| Caldyr | Webhooks (sin firmar) | Exportación manual de registros | |
|---|---|---|---|
| Entrega en tiempo real | envío por mTLS | POST sin firmar | solo por lotes |
| Sobres firmados | JWS · clave por destino | no | no |
| Reenvío al reconectar | búfer duradero | se descarta al fallar | N/D |
| Múltiples destinos | todos a la vez | una sola URL | manual |
| Cumplimiento WORM | S3 Object Lock (Enterprise) | no | no |
Preguntas frecuentes
Los eventos se almacenan localmente (30 días por defecto) y se reenvían al reconectar con IDs idempotentes. El plano de control sigue funcionando.
Sí. Una configuración habitual es Splunk para el SOC + S3 WORM para cumplimiento + Datadog para ingeniería, todo desde el mismo flujo de eventos con reglas de filtro independientes.
ECS (Elastic Common Schema) por defecto; las variantes raw_json, CEF, LEEF, syslog y OCSF están disponibles por destino, además de asignaciones de campos personalizadas mediante una transformación YAML.
Las reglas de filtro por destino admiten jsonpath → ocultar. Los campos de PII se pueden eliminar antes de que lleguen a destinos de menor confianza.
¿Listo para gobernar su infraestructura de IA?
Solicite acceso en minutos, o hable con nosotros sobre su despliegue aislado de la red.