| Alan | İş sözleşmesi |
|---|
| tenant_id | Kiracı sınırı; tüm sorgularda zorunlu |
| event_id | İdempotent tekil olay ID |
| event_time_utc | Kaynağın gerçekleşme zamanı |
| ingested_at_utc | Platforma giriş ve gecikme hesabı |
| source_ref | Kaynak ürünü, collector ve şema sürümü |
| actor_ref | Kullanıcı/servis/agent kimlik referansı |
| asset_ref | CMDB veya security graph varlık bağlantısı |
| action | Normalize edilmiş eylem |
| result | Başarılı, başarısız, bilinmiyor |
| severity | Kaynak severity ve normalize severity ayrı |
| raw_evidence_hash | Orijinal log checksum ve depolama referansı |
| classification | PII/secret/regulated data etiketi |
| correlation_id | Sorgu/vaka/saldırı zinciri bağlantısı |
| policy_version | Erişim ve response kontrol sürümü |
| retention_policy_id | Saklama ve legal hold bağlantısı |
Örnek olay sözleşmesi (kavramsal)
Vaka ve müdahale nesneleri
| Nesne | Asgari alanlar | Tutarlılık garantisi |
|---|
| Case | case_id, owner, severity, status, evidence refs, SLA | Tüm kritik kararlar ve aktörler audit |
| Investigation | hypothesis, query refs, positive/negative evidence | Kaynak atıfsız sonuç “confirmed” olamaz |
| Approval | action, target, approver, policy version, expires_at | Onaysız kritik eylem çağrısı deny |
| Response job | connector, idempotency key, prestate, rollback plan | Retry mükerrer eylem üretmez |
| Rule | source, ATT&CK mapping, test metrics, deployment id | Onaysız rule release olmaz |
| Intel object | IOC, TTL, TLP, provenance, confidence | Süresi dolmuş IOC kalıcı block yaratmaz |
