Export SIEM (Enterprise)

Ce que c'est

Un miroir local, basé sur des fichiers, de la piste d'audit du daemon :

• Chaque action d'audit est reflétée : allow, revert, quarantine, quarantine_reversible, detected_kept, meta_attack et fail_closed.
• Trois formats, chacun un fichier rotatif activable indépendamment : lignes JSON, CEF (ArcSight Common Event Format) et syslog (RFC 5424).
• Local et compatible air gap : le daemon écrit des fichiers sur le disque ; le seul chemin réseau optionnel est une cible syslog que vous configurez sur votre propre réseau. Rien n'est envoyé au cloud PoisonZero.
• Best-effort et fail-open : toute erreur d'initialisation ou d'écriture est absorbée ; l'export ne peut jamais retarder ni bloquer l'application des décisions.

Activation

L'export se configure par un seul fichier local, siem.json, dans le répertoire de configuration du daemon. Il n'est délibérément pas géré par le cloud : aucune configuration distante ne peut l'activer ni le rediriger. Modifiez le fichier, puis redémarrez le daemon :

{
  "enabled": true,
  "dir": "/var/log/poisonzero-siem",
  "formats": ["json", "cef", "syslog"],
  "syslog_target": "siem.example.com:514",
  "syslog_network": "udp",
  "group": "splunk"
}

Fichiers de sortie, rotation et permissions

• Rotation : chaque fichier bascule vers *.1 à 10 Mio ; le miroir reste borné sur le disque.
• Permissions par défaut : le répertoire est créé en 0755, les fichiers sont écrits en 0600. Les lignes portent des chemins de fichiers et des motifs ; par défaut seul l'utilisateur du daemon peut donc les lire. Au démarrage, le daemon remet aussi les droits de groupe hérités à ces valeurs par défaut.
• Accès forwarder via group (Linux/macOS) : un forwarder tournant sous son propre utilisateur non privilégié (splunk, nxlog, td-agent) obtient l'accès en lecture via le champ optionnel group : le répertoire passe en 0750, les fichiers en 0640, les deux appartenant à ce groupe - y compris chaque fichier frais créé par la rotation, ce à quoi une simple ACL de fichier ne survivrait pas. Ajoutez l'utilisateur du forwarder à ce groupe.
• Fail-safe : si le groupe n'existe pas ou si la pose du groupe ou du mode échoue, l'export ne démarre pas (loggé une seule fois). Aucun fichier n'est laissé avec de mauvaises permissions.
• Révocation : retirez le champ et le prochain démarrage du daemon remet le répertoire et les fichiers en 0755/0600 ; les fichiers *.1 déjà rotés ne sont corrigés qu'à leur prochaine rotation.
• Windows : le champ est ignoré - les modes POSIX ne s'y appliquent pas. Accordez la lecture au compte du forwarder via l'ACL héritée du répertoire.

La ligne JSON

Chaque ligne est une entrée d'audit ; les champs optionnels vides sont omis :

{"ts":"2026-06-10T12:00:00Z","action":"revert","path":"/home/dev/.claude/CLAUDE.md","reason":"prompt injection: exfiltration instruction","danger":0.93,"app_id":"app-7c1","agent":"claude-code","category":"exfil","threat_level":"high","evidence_sha256":"9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08","evidence_length":72}

La ligne CEF

En-tête : CEF:0|PoisonZero|PoisonZero|<version-daemon>|<action>|<action>|<sévérité>|<extensions>. Les caractères réservés sont échappés selon CEF dans l'en-tête et les valeurs d'extension. Les extensions :

La sévérité (CEF 0 à 10) suit d'abord le niveau de menace : high vaut 9, medium 6, low 2. Seule une entrée sans niveau retombe sur son action : quarantine 10 ; revert, meta_attack, fail_closed 9 ; quarantine_reversible, detected_kept 6 ; allow 2 ; une action inconnue est classée selon danger. Dans les données réelles, le niveau décide : une quarantaine prouvée est high (9), un detected_kept est medium (6), les deux sont donc déjà séparés.

CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert fname=/home/dev/.claude/CLAUDE.md msg=prompt injection app=app-7c1 suser=claude-code cs2=high cs2Label=ThreatLevel cn1=0.93 cn1Label=Danger

La ligne syslog

RFC 5424, facilité local0 (16), donc PRI = 16 × 8 + sévérité. Le corps du message est la ligne CEF ci-dessus : CEF over syslog, la convention SIEM la plus courante. La sévérité reflète la logique CEF, niveau de menace d'abord :

<132>1 2026-06-10T12:00:00Z build-host poisonzero - audit - CEF:0|PoisonZero|PoisonZero|0.7.8|revert|revert|9|rt=2026-06-10T12:00:00Z act=revert ...

Modes et air gap

L'export se comporte de façon identique en mode Cloud et en mode Privé : c'est un puits purement local, un appareil privé ne perd donc rien (voir cloud ou privé). La fonctionnalité n'établit aucune connexion sortante propre ; le seul chemin réseau est le syslog_target que vous configurez explicitement, sur votre propre réseau. Dans un déploiement entièrement isolé, laissez syslog_target vide et faites lire les fichiers par votre collecteur sur site.

Export SIEM ou export OpenTelemetry ?

Les deux sont des fonctionnalités Enterprise et les deux restent dans votre réseau ; ils répondent à des questions différentes :

À lire ensuite

Ce que la piste d'audit enregistre elle-même : incidents et audit. Combien de temps les données locales sont conservées : stockage, rétention et nettoyage. Le choix de mode derrière tout cela : cloud ou privé.