Exportación SIEM (Enterprise)

Qué es

Un espejo local, basado en archivos, del registro de auditoría del daemon:

• Cada acción de auditoría se refleja: allow, revert, quarantine, quarantine_reversible, detected_kept, meta_attack y fail_closed.
• Tres formatos, cada uno un archivo rotatorio activable de forma independiente: líneas JSON, CEF (ArcSight Common Event Format) y syslog (RFC 5424).
• Local y apto para air gap: el daemon escribe archivos en disco; la única ruta de red opcional es un destino syslog que configuras en tu propia red. Nada se envía a la nube de PoisonZero.
• Best-effort y fail-open: cualquier error de inicialización o escritura se absorbe; la exportación nunca puede retrasar ni bloquear la protección.

Cómo activarlo

La exportación se configura con un único archivo local, siem.json, en el directorio de configuración del daemon. Deliberadamente no se gestiona desde la nube: ninguna configuración remota puede activarla ni redirigirla. Edita el archivo y reinicia el daemon:

{
  "enabled": true,
  "dir": "/var/log/poisonzero-siem",
  "formats": ["json", "cef", "syslog"],
  "syslog_target": "siem.example.com:514",
  "syslog_network": "udp",
  "group": "splunk"
}

Archivos de salida, rotación y permisos

• Rotación: cada archivo rota a *.1 al llegar a 10 MiB; el espejo queda acotado en disco.
• Permisos por defecto: el directorio se crea con 0755 y los archivos se escriben con 0600. Las líneas llevan rutas de archivos y motivos; por defecto solo el usuario del daemon puede leerlas. Al arrancar, el daemon también restablece los permisos de grupo heredados a estos valores por defecto.
• Acceso del forwarder vía group (Linux/macOS): un forwarder que corre con su propio usuario sin privilegios (splunk, nxlog, td-agent) obtiene acceso de lectura con el campo opcional group: el directorio pasa a 0750, los archivos a 0640, ambos propiedad de ese grupo - incluido cada archivo nuevo creado por la rotación, algo que una simple ACL de archivo no sobreviviría. Añade el usuario del forwarder a ese grupo.
• Fail-safe: si el grupo no existe o falla la asignación de grupo o modo, la exportación no arranca (se registra una sola vez). Nunca quedan archivos con permisos incorrectos.
• Revocación: quita el campo y el siguiente arranque del daemon restablece directorio y archivos a 0755/0600; los archivos *.1 ya rotados se corrigen en su siguiente rotación.
• Windows: el campo se ignora - los modos POSIX no aplican allí. Concede lectura a la cuenta del forwarder mediante la ACL heredada del directorio.

La línea JSON

Cada línea es una entrada de auditoría; los campos opcionales vacíos se omiten:

{"ts":"2026-06-10T12:00:00Z","action":"revert","path":"/home/dev/.claude/CLAUDE.md","reason":"prompt injection: exfiltration instruction","danger":0.93,"app_id":"app-7c1","agent":"claude-code","category":"exfil","threat_level":"high","evidence_sha256":"9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08","evidence_length":72}

La línea CEF

Cabecera: CEF:0|PoisonZero|PoisonZero|<versión-daemon>|<action>|<action>|<severidad>|<extensiones>. Los caracteres reservados se escapan según CEF tanto en la cabecera como en los valores de extensión. Las extensiones:

La severidad (CEF 0 a 10) sigue primero el nivel de amenaza: high es 9, medium es 6, low es 2. Solo una entrada sin nivel recurre a su acción: quarantine 10; revert, meta_attack, fail_closed 9; quarantine_reversible, detected_kept 6; allow 2; una acción desconocida se clasifica por danger. Con datos reales decide el nivel: una cuarentena probada es high (9) y un detected_kept es medium (6), así que ambos ya quedan separados.

CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert fname=/home/dev/.claude/CLAUDE.md msg=prompt injection app=app-7c1 suser=claude-code cs2=high cs2Label=ThreatLevel cn1=0.93 cn1Label=Danger

La línea syslog

RFC 5424, facility local0 (16), así que PRI = 16 × 8 + severidad. El cuerpo del mensaje es la línea CEF de arriba: CEF over syslog, la convención SIEM más habitual. La severidad refleja la lógica CEF, nivel de amenaza primero:

<132>1 2026-06-10T12:00:00Z build-host poisonzero - audit - CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert ...

Modos y air gap

La exportación se comporta igual en modo Nube y en modo Privado: es un destino puramente local, así que un dispositivo privado no pierde nada (ver nube o privado). La función no abre conexiones salientes propias; la única ruta de red es el syslog_target que configuras explícitamente, en tu propia red. En un despliegue totalmente aislado, deja syslog_target sin definir y haz que tu colector local lea los archivos.

¿Exportación SIEM o exportación OpenTelemetry?

Ambas son funciones Enterprise y ambas se quedan dentro de tu red; responden a preguntas distintas:

Sigue leyendo

Lo que registra el propio historial de auditoría: incidentes y auditoría. Cuánto tiempo se conservan los datos locales: almacenamiento, retención y limpieza. La elección de modo detrás de todo: nube o privado.