SIEM-Export (Enterprise)

Was es ist

Ein lokaler, dateibasierter Spiegel des Audit-Protokolls des Daemons:

• Jede Audit-Aktion wird gespiegelt: allow, revert, quarantine, quarantine_reversible, detected_kept, meta_attack und fail_closed.
• Drei Formate, jedes eine unabhängig aktivierbare rotierende Datei: JSON-Zeilen, CEF (ArcSight Common Event Format) und syslog (RFC 5424).
• Lokal und Air-Gap-tauglich: Der Daemon schreibt Dateien auf die Platte; der einzige optionale Netzwerkpfad ist ein syslog-Ziel, das Sie in Ihrem eigenen Netz konfigurieren. An die PoisonZero-Cloud wird nichts gesendet.
• Best-effort und fail-open: Jeder Init- und Schreibfehler wird geschluckt; der Export kann die Durchsetzung nie verzögern oder blockieren.

Aktivieren

Der Export wird über genau eine lokale Datei konfiguriert, siem.json im Konfigurationsverzeichnis des Daemons. Sie ist bewusst nicht cloud-verwaltet: Keine Remote-Konfiguration kann ihn einschalten oder umleiten. Datei bearbeiten, dann den Daemon neu starten:

{
  "enabled": true,
  "dir": "/var/log/poisonzero-siem",
  "formats": ["json", "cef", "syslog"],
  "syslog_target": "siem.example.com:514",
  "syslog_network": "udp",
  "group": "splunk"
}

Ausgabedateien, Rotation und Berechtigungen

• Rotation: Jede Datei rotiert bei 10 MiB nach *.1; der Spiegel bleibt auf der Platte größenbegrenzt.
• Standard-Berechtigungen: Das Verzeichnis wird mit 0755 angelegt, die Dateien werden mit 0600 geschrieben. Die Zeilen tragen Dateipfade und Begründungen, deshalb darf sie standardmäßig nur der Nutzer des Daemons lesen. Beim Start setzt der Daemon auch geerbte Gruppenrechte auf diese Standardwerte zurück.
• Forwarder-Zugriff über group (Linux/macOS): Ein Forwarder unter eigenem unprivilegiertem Nutzer (splunk, nxlog, td-agent) bekommt Lesezugriff über das optionale Feld group: Das Verzeichnis wird 0750, die Dateien werden 0640, beides gehört der Gruppe - einschließlich jeder frischen Datei aus der Rotation, was eine einfache Datei-ACL nicht überleben würde. Den Forwarder-Nutzer zur Gruppe hinzufügen.
• Fail-safe: Existiert die Gruppe nicht oder schlägt das Setzen von Gruppe oder Modus fehl, startet der Export nicht (einmalig geloggt). Dateien bleiben nie mit falschen Berechtigungen liegen.
• Widerruf: Feld entfernen, und der nächste Daemon-Start setzt Verzeichnis und Dateien auf 0755/0600 zurück; bereits rotierte *.1-Dateien werden erst bei ihrer nächsten Rotation korrigiert.
• Windows: Das Feld wird ignoriert - POSIX-Modi gelten dort nicht. Lesezugriff für das Forwarder-Konto über die geerbte Verzeichnis-ACL erteilen.

Die JSON-Zeile

Jede Zeile ist ein Audit-Eintrag; leere optionale Felder entfallen:

{"ts":"2026-06-10T12:00:00Z","action":"revert","path":"/home/dev/.claude/CLAUDE.md","reason":"prompt injection: exfiltration instruction","danger":0.93,"app_id":"app-7c1","agent":"claude-code","category":"exfil","threat_level":"high","evidence_sha256":"9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08","evidence_length":72}

Die CEF-Zeile

Header: CEF:0|PoisonZero|PoisonZero|<Daemon-Version>|<action>|<action>|<Severity>|<Extensions>. Reservierte Zeichen werden in Header und Extension-Werten CEF-escaped. Die Extensions:

Die Severity (CEF 0 bis 10) richtet sich zuerst nach dem Threat-Level: high ist 9, medium ist 6, low ist 2. Nur ein Eintrag ohne Threat-Level fällt auf seine Aktion zurück: quarantine 10; revert, meta_attack, fail_closed 9; quarantine_reversible, detected_kept 6; allow 2; eine unbekannte Aktion wird nach danger eingestuft. In Live-Daten entscheidet die Stufe: Eine bewiesene Quarantäne ist high (9), ein detected_kept ist medium (6), die beiden sind also bereits getrennt.

CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert fname=/home/dev/.claude/CLAUDE.md msg=prompt injection app=app-7c1 suser=claude-code cs2=high cs2Label=ThreatLevel cn1=0.93 cn1Label=Danger

Die syslog-Zeile

RFC 5424, Facility local0 (16), also PRI = 16 × 8 + Severity. Der Nachrichtenkörper ist die CEF-Zeile von oben: CEF over syslog, die gängige SIEM-Konvention. Die Severity spiegelt die CEF-Logik, Threat-Level zuerst:

<132>1 2026-06-10T12:00:00Z build-host poisonzero - audit - CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert ...

Modi und Air Gap

Der Export verhält sich im Cloud-Modus und im Private-Modus identisch: Er ist eine rein lokale Senke, ein privates Gerät verliert also nichts (siehe Cloud oder Privat). Das Feature baut keine eigenen ausgehenden Verbindungen auf; der einzige Netzwerkpfad ist das von Ihnen ausdrücklich konfigurierte syslog_target in Ihrem eigenen Netz. In vollständig abgeschotteten Umgebungen lassen Sie syslog_target weg und lassen Ihren On-Premises-Collector die Dateien einlesen.

SIEM-Export oder OpenTelemetry-Export?

Beides sind Enterprise-Features und beide bleiben in Ihrem Netz; sie beantworten verschiedene Fragen:

Weiterlesen

Was das Audit-Protokoll selbst festhält: Vorfälle und Audit. Wie lange lokale Daten bleiben: Speicher, Aufbewahrung und Bereinigung. Die Modus-Wahl dahinter: Cloud oder Privat.