• Accueil
• Intégrations d'applications
• Intégrations SIEM
• Intégration SIEM SumoLogic

Configuration de l'intégration SumoLogic SIEM

---

SumoLogic SIEM est une solution de sécurité basée sur le cloud qui détecte les menaces en temps réel, analyse les données des journaux d'événements et d'incidents de tous les outils de sécurité. miniOrange fournit un accès sécurisé et un contrôle total à SumoLogic pour les entreprises et les applications. Avec l'aide du guide fourni, vous pouvez configurer SumoLogic facilement.

1. Configurer le point de terminaison du collecteur HTTP

• Interface classique. Dans le menu principal de SumoLogic, sélectionnez Gérer les données > Collecte > Collecte. Nouvelle interface utilisateur. Dans le menu supérieur de SumoLogic, sélectionnez Configuration, puis sous Collecte des Données Sélectionner CollectionVous pouvez également cliquer sur le menu Aller à... en haut de l'écran et sélectionner Collection.



• Dans l' Collecteurs page, cliquez sur Ajouter une source à côté d'une Collectionneur hébergé.
• Sélectionner Journaux et métriques HTTP.
• Saisissez un nom à afficher pour la source dans l'application Web Sumo. La description est facultative.
• Assurez-vous de définir Traitement des messages as Traitement multiligne.
• Cliquez sur Enregistrer pour sauvegarder votre collecteur.



• Copiez le point de terminaison en cliquant sur le lien Afficher l'URL.

2. Configurez le point de terminaison de l'API SUMO Logic dans miniOrange.

• Se connecter à Console d'administration miniOrange.
• Allez dans Gestion SIEM et cliquez sur Configurer .



• Sélectionner Sumo Logic outil SIEM et cliquez sur next.



• Indiquez le nom de l'outil SIEM.
• Assurez-vous d'entrer le URL du point de terminaison (Copié de l'étape 1) .
• Pour enregistrer la configuration Sumo Logic SIEM, cliquez sur enregistrer.



• Cliquez sur activer Appuyez sur le bouton bascule pour activer l'outil SIEM.






À noter:

Le superadministrateur peut également activer l'outil SIEM pour les clients via les options de gestion de l'activation. L'administrateur peut activer l'outil SIEM pour tous les clients en utilisant Activer pour tous les clients Cette option peut également être activée pour chaque client individuellement via l'option « Gérer l'activation » disponible dans le menu Actions en cliquant sur les trois points.
S'il vous plaît suivez en savoir plus.





• Sélectionnez Activer pour tous les clients :
• Le superadministrateur peut activer/désactiver Activer pour tous les clients pour activer l'outil SIEM pour tous les locataires en une seule action.



• Sélectionnez Gérer l'activation :
• Le superadministrateur peut utiliser Gérer l'activation activer sélectivement l'outil SIEM pour certains comptes clients.

3. Exemples de filtres de recherche

1. Requête de filtrage pour les audits MFA

            
                _source=##name_of_your_source##
              | where audit.audittype = "MFA_AUDIT"
              | audit.target.identifier as Identifier
              | audit.status as Status
              | fromMillis(audit.createdDttm) as Time
              | formatDate(Time,"dd/MM/yyyy HH:mm:ss") as FormattedTime
              | count by Identifier, Status, FormattedTime
              | fields -_count
            
          

2. Requête de filtrage pour les audits d'administration

            
                _source=##name_of_your_source##
              | where audit.auditType = "ADMIN_AUDIT"
              | audit.status as Status
              | audit.target.identifier as Identifier
              | audit.eventType as EventType
              | count by Identifier, EventType, Status
              | fields -_count
            
          

3. Requête de filtrage pour les audits de réinitialisation de mot de passe

            
                _source=##name_of_your_source##
              | where audit.auditType = "ADMIN_AUDIT"
              | where audit.eventType = "Password Reset"
              | audit.target.identifier as Identifier
              | auditValue as AuditMessage
              | audit.status as Status
              | fromMillis(audit.createdDttm) as temptime
              | formatDate(temptime,"dd/MM/yyyy HH:mm:ss") as FormattedTime
              | count by Identifier, AuditMessage, Status, FormattedTime
              | fields -_count