Multi-vendor por design

Registry pluggable de providers — Sophos Central/XDR, Microsoft Defender, Wazuh e NinjaOne de fábrica. Adicionar um vendor novo é registrar uma classe Python. Saída pluggable também: Wazuh hoje, qualquer SIEM amanhã via _Target Protocol.

Normalização versionada (CML)

CML — CentralOps Mapping Language é uma DSL JSON declarativa pra normalizar vendor → OCSF. Versionada, com diff entre versões, dry-run contra sample reservoir, rollback append-only, drift detection automática e array_builder pra observáveis OCSF.

MSSP-grade multi-tenant

Auto-discovery de tenants Sophos Partner com workflow de aprovação humana (pending → approved → excluded → stale), isolamento por organização, audit trail completo, quarentena formal com reprocesso idempotente e RBAC por papel (Viewer / Operator / Engineer / Admin).