Récepteurs de logs et transfert SIEM

Scrydon transmet la même enveloppe versionnée du journal d'audit que celle affichée dans le produit et dans l'export NDJSON. Un récepteur de logs inclut par défaut les événements d'audit, de workflow et d'intégrité, de sorte que les systèmes en aval n'ont besoin ni d'intégrations distinctes ni de jointures.

Configurer un récepteur

Ouvrez Paramètres → Plateforme → Journal d'audit → Récepteurs de logs, puis créez un récepteur avec :

• un nom ;
• une URL webhook HTTPS sur une adresse publique, ou sur un réseau privé que l'opérateur de Scrydon a ouvert à votre organisation ;
• un filtre facultatif par type d'événement, action, type de ressource, acteur, application productrice ou plage temporelle.

L'URL doit être en https:// et ne résoudre que vers des adresses publiques. Les adresses privées, de bouclage, link-local ou de métadonnées cloud — et les noms comme localhost — sont refusées à l'enregistrement du récepteur (Log Receiver URL must be a public https address) puis à nouveau à chaque livraison, après résolution DNS. Les livraisons ne suivent pas les redirections : faites pointer le récepteur vers l'URL finale du collecteur.

Un collecteur sur un réseau privé

Un collecteur SIEM joignable uniquement sur votre propre réseau — cas courant sur site, en installation isolée et derrière un private endpoint cloud — exige que l'opérateur qui a installé Scrydon ouvre ce réseau avec la valeur Helm global.egress.privateNetworks : ses plages d'adresses, ses ports, votre organisation et, si besoin, l'autorité de certification interne qui signe le certificat du collecteur. Rien dans les Paramètres n'ouvre un réseau privé. Une fois le réseau ouvert, enregistrez le récepteur avec l'URL du collecteur comme d'habitude : la même vérification s'applique à l'enregistrement et à chaque livraison, de sorte qu'une URL autorisée par l'opérateur n'est jamais refusée à l'enregistrement. Les adresses hors du réseau — ainsi que les adresses de bouclage, link-local et de métadonnées cloud, quel que soit le réseau — restent refusées, et le refus indique qu'un opérateur peut autoriser un réseau privé avec global.egress.privateNetworks.

Scrydon affiche le secret HMAC une seule fois. Conservez-le dans le coffre de secrets de votre SIEM ou de votre collecteur. Plusieurs récepteurs peuvent être actifs simultanément — par exemple, tous les événements vers un lac de données et les événements d'intégrité vers un SIEM de réponse aux incidents.

Vérifier une livraison

Chaque requête contient :

• X-Scrydon-Timestamp: <unix-ms> ;
• X-Scrydon-Signature: v1=<hex HMAC-SHA256>.

Calculez le HMAC-SHA256 sur {timestamp}.{rawBody} avec le secret du récepteur et comparez-le en temps constant. Rejetez les horodatages éloignés de plus de cinq minutes de l'horloge du collecteur avant d'analyser le corps.

Comportement de livraison

• Au moins une fois : dédupliquez sur l'id de l'enveloppe.
• Nouvelles tentatives durables : les livraisons en échec sont retentées pendant environ 34 heures.
• Lettres mortes : une fois le budget de nouvelles tentatives épuisé, la livraison reste visible et peut être rejouée depuis la ligne du récepteur.
• Ingestion indépendante : une destination lente ou indisponible ne bloque pas les ajouts au journal d'audit.

Utilisez l'action de test du récepteur après sa création ou après une rotation du secret. La ligne d'état du récepteur affiche les détails du dernier succès et du dernier échec.

Enveloppe et filtrage

Chaque requête utilise l'enveloppe commune documentée sous Journal d'audit. Les filtres portent sur ses champs stables : type, action, resource.type, acteur, application productrice et horodatages. Les lignes protégées suivent les mêmes règles de masquage tenant compte de l'habilitation que la liste et l'export.

Voir aussi

• Journal d'audit — enveloppe, intégrité et rétention.
• Catalogue du journal d'audit — valeurs d'événements acceptées.
• Observabilité — journaux applicatifs, métriques et traces, distincts des preuves conservées dans le journal d'audit.