• Startseite
• App-Integrationen
• SIEM-Integration

SIEM-Integration mit miniOrange

---

Integrieren Sie miniOrange in Ihre SIEM-Plattform (Security Information and Event Management), um Daten zu erfassen und weiterzuleiten. IAMSSO, MFA, Authentifizierung und Sicherheitsaudit-Protokolle für die zentrale Überwachung und Analyse. SIEM-Integration Ermöglicht es Sicherheitsteams, identitätsbezogene Ereignisse zu erfassen und nahezu in Echtzeit an cloudbasierte oder lokale SIEM-Plattformen zu übermitteln.

miniOrange unterstützt SIEM-Integrationen mit Plattformen wie Splunk, Sumo Logic und FortiSIEM. Sie können die an Ihr SIEM gesendeten Sicherheitsdaten wie folgt steuern:

• Ereignisfilterung: Filtern Sie die an Ihr SIEM weitergeleiteten Sicherheitsereignisse anhand Ihrer Sicherheitskonfiguration und -richtlinien, damit Sie sich auf relevante Ereignisse konzentrieren können.
• Vorratsdatenspeicherung: Der miniOrange Collector speichert Sicherheitsereignisdaten bis zu 12 Stunden lang, sodass Sie Ereignisse abrufen können, die während vorübergehender Verbindungsprobleme möglicherweise verpasst wurden.

Wie die SIEM-Integration funktioniert

Die SIEM-Integration erfasst Sicherheits- und Audit-Ereignisse, die von der miniOrange Identity Platform generiert werden, und leitet sie zur zentralen Überwachung und Analyse an Ihr SIEM weiter.

miniOrange unterstützt zwei Methoden zur Weiterleitung von SIEM-Protokollen:

• TCP-Weiterleitung: Leiten Sie Sicherheitsprotokolle über TCP an einen konfigurierten SIEM-Host und -Port weiter. Sofern unterstützt, kann die Protokollübertragung durch TLS-Verschlüsselung gesichert werden.
• HTTP-Weiterleitung: Senden Sie Sicherheitsereignisprotokolle über die HTTP-basierte Ingestion-API oder den Collector-Endpunkt an die SIEM-Plattform.

Welche Protokollformate unterstützen wir?

Wir unterstützen derzeit das JSON-Format.

Beispiel für ein JSON-Protokollereignis

      
      {
  "audit": {
	"logId": "79804b38-3c70-11f0-ab78-06260491ad45",
	"customerId": 123456,
	"actor": {
  	"identifier": "a@gmail.com",
  	"type": "END_USER",
  	"displayName": "a d",
  	"customerId": 123456
	},
	"target": {
  	"identifier": "a@gmail.com",
  	"type": "END_USER",
  	"displayName": "a d",
  	"customerId":123456
	},
	"eventType": "Update Users Phone or Email.",
	"eventDescription": "User has updated Phone or Email.",
	"status": "SUCCESS",
	"displayMessage": "User has updated EMAIL.",
	"clientIp": "127.127.127.127"
  },
  "customerId": 123456,
  "auditKey": "Update Users Phone or Email.",
  "auditValue": "User with username: a@gmail.com has updated EMAIL to: b@gmail.com.",
  "xtraAttributes": "{}"
}
      
    

Folgen Sie der unten stehenden Schritt-für-Schritt-Anleitung zur SIEM-Integration in Cloud und On-Premise

1. SIEM-Integration in der Cloud

• Whitelist der IPs des miniOrange Identity Cloud-Servers in Ihrem SIEM-Tool-
  

  Hinweis: Wenden Sie sich an den miniOrange-Support , um die auf der Whitelist stehenden IP-Adressen der miniOrange-Cloud-Server zu erhalten.

• Geben Sie die Collector/Ingestion-API-URL des SIEM-Tools frei (bei Wahl der HTTP-Weiterleitung)
  Beispielsweise - https://collectors.fed.sumologic.com/receiver/v1/http/
• Geben Sie Host und Port frei (wenn Sie sich für TCP-Weiterleitung entscheiden).
  Bei Bedarf werden Sie möglicherweise auch wegen TLS-Anmeldeinformationen kontaktiert.

2. SIEM-Integration vor Ort

Voraussetzungen:

Wir empfehlen, die Protokollebene auf Fehlernachrichten zu ändern. Wenn die Protokollebenen auf ein Minimum reduziert sind, generiert der Server in einer aktiven Produktionsumgebung große Mengen an Informationen. Alternativ können Sie die Protokollebene auf FEHLER und höher einstellen, sodass nur wichtige Protokolle protokolliert werden. Dadurch wird sichergestellt, dass nur wichtige Informationen an Ihr SIEM-Tool gesendet werden.

Sie können sogar ein spezielles Protokoll einrichten, das nur Fehler und höhere Werte protokolliert, indem Sie die Datei log4j2.xml bearbeiten. Die Datei log4j2.xml finden Sie hier: <Pfad zum Miniorange-Verzeichnis>\moas\WEB-INF\classes\log4j2.xml.

• Fügen Sie einen Appender hinzu. Am einfachsten geht das, indem Sie den folgenden kopieren.

      
        <Syslog name="Remote" host="<ip-address>" port="514" protocol="UDP">
            <PatternLayout pattern="${pattern}"/>
        </Syslog>
      
    



• Fügen Sie den Appender wie unten gezeigt in den Appender-Abschnitt ein. Achten Sie darauf, zu ersetzen mit Ihrer SIEM-IP-Adresse.



• Fügen Sie jedem Logger, der Sie interessiert, Folgendes hinzu:

      
        <appender-ref ref="Remote" />
      
    



• Beispielsweise:

      
        <asyncLogger name="com.miniorange" level="debug">
            <appender-ref ref="Remote" />
        </asyncLogger>
      
    



• Starten Sie den Server neu.

Häufig gestellte Fragen