Ingesta a SIEM por producto

Qué hace eMate: selecciona los eventos autorizados de cada producto, los normaliza y los entrega al destino configurado. Las reglas de correlación, retención y respuesta automática se administran en el SIEM del cliente.

Modelo de licenciamiento y aislamiento

1. Plan Enterprise. La exportación SIEM requiere entitlement Enterprise en el producto que origina los eventos.
2. Destino. El cliente registra un destino y sus credenciales.
3. Suscripción por producto. Un administrador habilita cada producto por separado y define las categorías permitidas.
4. Inicio desde la activación. La suscripción comienza con eventos nuevos; no implica replay histórico.

Ejemplo: si un cliente exporta Correo Seguro y tres meses después compra SaaS Posture, debe autorizar una segunda suscripción para SaaS Posture. Ambas pueden usar el mismo destino, pero conservan permisos, cursor, salud y desactivación independientes.

Cobertura actual por producto

La tabla describe el alcance implementado hoy. La aparición de datos de otro módulo dentro de la interfaz no significa que exista una fuente SIEM contratada para ese producto.

Destinos compatibles

Sentinel legacy: el conector Data Collector API queda sólo para compatibilidad. Para nuevas integraciones se recomienda Logs Ingestion API (DCR). Microsoft anunció el retiro del método legacy para el 14 de septiembre de 2026.

Contrato mínimo de evento

Los adaptadores pueden cambiar el wire format (por ejemplo, LEEF o syslog), pero deben conservar estos conceptos:

{
  "event_id": "uuid-estable-para-deduplicacion",
  "occurred_at": "2026-10-08T21:15:00Z",
  "tenant_id": "tenant-uuid",
  "product": "saas_posture",
  "category": "sspm",
  "action": "SSPM_FINDING_CREATED",
  "severity": "high",
  "actor_id": "actor-uuid",
  "actor_type": "service",
  "resource_type": "finding",
  "resource_id": "finding-uuid",
  "before_val": null,
  "after_val": {"rule_id": "...", "status": "FAIL"}
}

No construyas deduplicación con el texto del mensaje. Usá event_id como clave idempotente y occurred_at para ordenar.

Semántica de entrega

• At-least-once: un evento puede llegar más de una vez después de un retry.
• Orden no garantizado: ordená por la marca de tiempo del evento.
• Credenciales separadas: se almacenan por destino; una suscripción referencia el destino sin compartir permisos entre productos.
• Desactivación independiente: pausar SSPM no pausa Correo Seguro ni Human Risk Protection.
• Observabilidad: verificá último envío exitoso, error reciente y cursor de cada suscripción.

Activación recomendada

1. Crear en el SIEM un índice, source o tabla dedicado para eMate y aplicar retención.
2. Crear una credencial de mínimo privilegio que sólo pueda ingerir eventos.
3. En eMate, crear el destino y ejecutar la prueba de conectividad.
4. Habilitar una suscripción para un único producto y seleccionar sus categorías.
5. Generar un evento controlado, confirmar recepción y validar campos, zona horaria y severidad.
6. Crear las detecciones del producto usando los casos de uso enlazados en esta página.
7. Repetir la autorización para cada producto adicional.

Troubleshooting