• Casa
• Content Library
• Documentazione del portale partner
• Gestione SIEM

Gestione SIEM

Panoramica

Il modulo di integrazione SIEM di miniOrange consente l'inoltro senza interruzioni di dati di eventi relativi a identità, autenticazione, azioni amministrative e modelli di accesso (accesso, disconnessione, MFA, sessione, violazioni delle policy, ecc.) dalla piattaforma di identità miniOrange al SIEM di tua scelta (ad esempio Wazuh, Splunk, Sumo Logic, o strumenti personalizzati).

Ciò consente ai team di sicurezza di correlare SSO / IAM eventi con registri infrastrutturali più ampi per rilevamento, monitoraggio e conformità delle minacce unificati.

Casi d'uso / Vantaggi

• Rilevamento e correlazione delle minacce

  Correlare gli eventi di autenticazione, amministrazione e modelli di accesso con i log di rete o endpoint per rilevare anomalie come tentativi di forza bruta, escalation dei privilegi o minacce interne.

• Risposta agli incidenti e analisi forense

  Traccia un incidente end-to-end, dall'autenticazione dell'utente alle modifiche alla configurazione dell'amministratore, per un'analisi più rapida della causa principale.

• Conformità e controllo

  Mantenere un registro di controllo unificato e a prova di manomissione degli eventi di identità, amministrazione e accesso per supportare la conformità normativa e di controllo.

• Avvisi e monitoraggio in tempo reale

  Abilita avvisi basati su regole nel tuo SIEM per ripetuti errori di accesso, azioni amministrative ad alto rischio o comportamenti di accesso insoliti.

• Visibilità operativa

  Ottieni informazioni dettagliate sulle tendenze di accesso degli utenti, sullo stato dell'autenticazione, sulle operazioni amministrative e sull'attività della piattaforma nel tuo ambiente.

Esempio di flusso di lavoro

• Un utente tenta di accedere tramite SSO (SAML/OIDC).
• miniOrange elabora le policy di autenticazione e MFA.
• Qualsiasi cosa correlata identità, autenticazione o azione amministrativa gli eventi (ad esempio, accesso riuscito/fallito, modifica dei criteri, aggiornamento della configurazione) vengono formattati e inoltrati al SIEM configurato (tramite HTTP collector, syslog o API).
• Il SIEM li acquisisce, li normalizza e li correla con altri log dell'infrastruttura.
• Avvisi, dashboard e flussi di lavoro degli incidenti vengono attivati ​​in base a regole di sicurezza definite.

Configurazione TCP SIEM personalizzata

• Accedi alla dashboard del portale partner miniOrange.
• Seleziona Gestione SIEM dal menu laterale.



• Fare clic su Configurazione e seleziona aggiungi Nuovo.



• Selezionare TCP in Protocollo.
• Fornire il nome visualizzato, il nome dello strumento, scegliere il formato dei dati (JSON, SYSLOG ecc.).

  Porta TCP e Host TCP sono campi obbligatori quando il protocollo è TCP.




• Fare clic su Salva.
• Attiva SIEM per iniziare a ricevere l'audit nello strumento TCP SIEM.

Configurazione API SIEM personalizzata

• Accedi alla dashboard di amministrazione. Seleziona Gestione SIEM dal menu laterale.



• Fare clic su Configurazione e seleziona aggiungi Nuovo.



• Selezionare API in Protocollo.
• Fornire il nome visualizzato, il nome dello strumento, scegliere il formato dei dati (JSON, SYSLOG ecc.) e l'URL dell'endpoint.
• Selezionare il tipo di autorizzazione appropriato dal menu a discesa.



• Fornire i campi richiesti in base all'AuthType selezionato sopra.



• (Facoltativo) È anche possibile configurare altri campi tramite il corpo dell'API personalizzata, da inviare insieme ai registri eventi.

  [Se si configura un corpo API personalizzato, ##event## è un campo valore obbligatorio per qualsiasi chiave]




• Fare clic su Salva.
• Attiva SIEM per iniziare a ricevere l'audit nello strumento API SIEM.

Gestione dell'attivazione SIEM per tutti i clienti o per singoli clienti

Il SuperAdmin può anche attivare lo strumento SIEM per i clienti utilizzando le opzioni di attivazione Gestisci. Il SuperAdmin può attivare lo strumento SIEM per tutti i clienti utilizzando Attiva Per tutti i clienti opzione oppure è possibile attivare per singoli clienti utilizzando l'opzione di gestione dell'attivazione disponibile nel menu azioni cliccando sui 3 punti.

• Il superamministratore può alternare Attiva per tutti i clienti per abilitare lo strumento SIEM per tutti i tenant in un'unica azione.



• Il superamministratore può utilizzare Gestisci attivazione per abilitare selettivamente lo strumento SIEM per i singoli account dei clienti.