Un RIB changé que le SIEM ne voit pas

Objectif Que le SIEM voie un changement d'IBAN fournisseur, sans que l'IBAN apparaisse dans l'inbox.

L'ERP exporte ses fournisseurs en CSV. Il n'émet aucun événement. Un changement de RIB passe inaperçu jusqu'au prochain paiement.

lumnik relit l'export chaque minute
une décision signée part au SIEM par webhook
le SIEM alerte sur le compte qui change
l'inbox ne montre jamais le compte.

lumnik Open
Sécurité
Fournisseurs
Connector
Process

calibration.csv

supplier_id,supplier_name,iban,status
CALIBRATION,Schema calibration,FR7600000000000000000000000,INACTIVE

manifests/10-suppliers.yaml

apiVersion: connectors.lumnik.io/v1kind: Connectormetadata:  name: scenario-siem-suppliers-e  connector_type: csv-file  scopes: [supplier-security]spec:  schedule: "* * * * *"  transport:    kind: local    path: /tmp/lumnik-scenario/siem-bank-account-change/e/suppliers.csv  parser:    has_header: true  after_process: none

$ lm apply -f manifests/10-suppliers.yaml
{"name":"scenario-siem-suppliers-e","connectorId":"442c191b-10dc-49d4-a071-3a9246c8093f","endpointsApplied":1}

$ lm connector run scenario-siem-suppliers-e
run scheduled: cb621230-b39d-42a2-8eea-66dce3c0b323

$ lm run get cb621230-b39d-42a2-8eea-66dce3c0b323
ID        CONNECTOR                  ENDPOINT  STATUS     IN  OUT  SKIPPED  DEAD-LETTERS  STARTED           ENDED             EVALUATED
cb621230  scenario-siem-suppliers-e  default   Completed  1   1    0        0             2026-10-22 07:21  2026-10-22 07:21  no

manifests/20-bank-account-process.yaml

apiVersion: apps.lumnik.io/v1kind: Processmetadata:  name: scenario-siem-bank-account-observed-espec:  scope: supplier-security  on:    event: data.row.changed    table: connector.t_scenario_siem_suppliers_e  when:    - status=ACTIVE  emit:    type: decision.supplier-bank-account-observed-e    message: "Bank account observed for supplier {supplier_id} ({supplier_name})"    # The account goes to the SIEM in the payload, never into the sentence an inbox reader sees (#1365).    fields: [iban]

$ lm process apply -f manifests/20-bank-account-process.yaml
{"name":"scenario-siem-bank-account-observed-e","table":"connector.t_scenario_siem_suppliers_e","emit":"decision.supplier-bank-account-observed-e"}

$ lm integration add scenario-siem-e --url http://host.docker.internal:9210/events --events decision.supplier-bank-account-observed-e --secret-stdin
registered: scenario-siem-e (id 1039) — forwards subscribed events from now on

suppliers-day1.csv

supplier_id,supplier_name,iban,status
SUP-0042,Atelier Orion,FR7630006000011234567890189,ACTIVE
SUP-0077,Transports Aster,FR7612345000098765432100123,ACTIVE

suppliers-day2.csv

supplier_id,supplier_name,iban,status
SUP-0042,Atelier Orion,FR76 3000 6000 0198 7654 3210 458,ACTIVE
SUP-0077,Transports Aster,FR7612345000098765432100123,ACTIVE

SUP-0042: baseline · …0189
SUP-0077: baseline · …0123
SUP-0042: alert · …0458
alert: supplier_bank_account_changed · high · SUP-0042 · …0189 → …0458

preuves: replay.log, 06-run-ledger.json, 08-output-ledger.json, 09-siem-alerts.json, siem-events.jsonl · transform v1

$ lm run list --connector scenario-siem-suppliers-e --limit 20
ID        CONNECTOR                  ENDPOINT  STATUS     IN  OUT  SKIPPED  DEAD-LETTERS  STARTED           ENDED             EVALUATED
1a70afbd  scenario-siem-suppliers-e  default   Completed  2   2    0        0             2026-10-22 07:23  2026-10-22 07:23  yes
11a0b21d  scenario-siem-suppliers-e  default   Completed  2   2    0        0             2026-10-22 07:22  2026-10-22 07:22  yes
cb621230  scenario-siem-suppliers-e  default   Completed  1   1    0        0             2026-10-22 07:21  2026-10-22 07:21  —

$ lm inbox --process scenario-siem-bank-account-observed-e
ID     WHEN      PROCESS                                MESSAGE                                                         ENTITY_KEY
17553  just now  scenario-siem-bank-account-observed-e  Bank account observed for supplier SUP-0042 (Atelier Orion)     a7744b2f8451d76b087014b7b444c24476fbbd2123333a46cd2f28d7571ec7fe
17549  1min      scenario-siem-bank-account-observed-e  Bank account observed for supplier SUP-0077 (Transports Aster)  58f540961dbf9bd161806eb79820c99fb20f123b45d21deec7d64692f8bc8ea6
17548  1min      scenario-siem-bank-account-observed-e  Bank account observed for supplier SUP-0042 (Atelier Orion)     ff679e17955ab06ae141d6d64f706d4cc813ce93b43489f497aa31ba694b3a3e

$ lm connector pause scenario-siem-suppliers-e
paused: scenario-siem-suppliers-e

Limites

Process voit une nouvelle ligne ingérée. Il ne la compare pas à la précédente: le SIEM fait la corrélation, comme en production.
Le compte complet traverse le webhook signé, pour une empreinte exacte. En production: HTTPS, et un accès restreint au journal des livraisons, qui garde les payloads.
SIEM synthétique. Un vrai SIEM appliquerait ses propres règles.
Données synthétiques.

Fournisseurs · ERP

Un RIB change dans l'ERP. La sécurité ne le voit pas.

Le prochain paiement part sur le nouveau compte.

L'ERP exporte ses fournisseurs en CSV. Il n'émet aucun événement.

Fournisseurs fictifs · données synthétiques

Le problème

Une fraude classique passe par le RIB.

Le compte d'un fournisseur est modifié.
Aucune alerte ne part de l'ERP.
Le SIEM ne reçoit rien.

Rien n'est modifié

L'ERP reste tel quel.

lumnik relit l'export chaque minute.
Il n'écrit pas dans l'ERP.
Une décision signée part au SIEM.

Ce qu'il a fallu écrire

when:
  - status=ACTIVE
emit:
  fields: [iban]

Le compte part au SIEM, pas dans la phrase.

Le scénario complet tient en 2 fichiers de déclaration, 30 lignes.

Ce que voit l'inbox

Le fournisseur, jamais le compte.

Boîte de décisions

Bank account observed for supplier SUP-0042 (Atelier Orion)

Message réel, rejeu du 22 octobre 2026.

Ce que décide le SIEM

Une référence, puis une alerte.

Jour 1: premier compte de SUP-0042, …0189.
Jour 2: …0458. Alerte haute.
SUP-0077 inchangé: rien.

SIEM: empreinte et 4 derniers chiffres seulement.

La limite

lumnik transporte. Le SIEM corrèle.

lumnik voit une nouvelle ligne.
Il ne la compare pas à l'ancienne.
Le SIEM décide que le compte a changé.

Essayer

Le scénario se rejoue de bout en bout.

Export, planning, webhook, SIEM: chaque étape est publiée avec sa sortie.

Ce scénario tourne sur lumnik Open, gratuit et open source.

Essayer lumnik Open →