Zum Hauptinhalt springen
Jamf Internet Security (Jamf Security Cloud) überträgt Bedrohungsereignisse in Echtzeit an Wirespeed, und zwar über einen Threat Events-Datenstream mit einem Generic HTTP-Ziel. Jedes Ereignis (zum Beispiel eine blockierte Phishing-Domain oder eine schädliche App auf einem Gerät) wird in Wirespeed zu einer Detektion.

​
Einrichtung in Wirespeed

  1. Melden Sie sich bei Wirespeed an und navigieren Sie zu Integrationen > Integration hinzufügen > Jamf Internet Security
  2. Geben Sie einen Quellnamen ein, um diesen Jamf-Security-Cloud-Mandanten zu kennzeichnen
  3. Klicken Sie auf Integrieren
  4. Wählen Sie Webhook-Details
  5. Kopieren Sie die Webhook-URL und das Webhook-Secret
Die Webhook-URL hat folgende Form:

​
Datenstream in Jamf Security Cloud konfigurieren

  1. Melden Sie sich bei Jamf Security Cloud an und navigieren Sie zu Integrations > Data Streams
  2. Klicken Sie auf New configuration
  3. Wählen Sie Threat Events als Datenstream-Typ
  4. Wählen Sie Generic HTTP als Zieltyp und klicken Sie dann auf Continue
  5. Geben Sie einen Konfigurationsnamen ein (z. B. Wirespeed)
  6. Tragen Sie die HTTP-Verbindungsdaten aus der Wirespeed-Webhook-URL ein:
    • Protocol: https
    • Server Hostname/IP: der <API_HOST>-Teil der URL
    • Port: 443
    • Endpoint: alles nach dem Host, beginnend bei /integration/webhook/..., einschließlich des Query-Strings ?teamId=...&integrationId=...
  7. Klicken Sie unter Additional Headers auf Add header und geben Sie Folgendes ein:
    • Name: Authorization
    • Value: Bearer <WEBHOOK_SECRET>
  8. Klicken Sie auf Test Configuration
  9. Aktivieren Sie Enable configuration und klicken Sie auf Save
Der Authorization-Header ist erforderlich. Wirespeed lehnt Zustellungen ab, die nicht das korrekte Webhook-Secret enthalten.
Jamf-Dokumentation zum Generic-HTTP-Datenstream

​
Erfasste Daten

Wirespeed erfasst alle Ereignisse aus dem Threat-Events-Stream, darunter:
  • Riskante Hosts und Domains: Ziele für Phishing, Malware, Spam und Cryptojacking
  • Schädliche und riskante Apps: Malware, Adware, Spyware, per Sideloading installierte Apps und Apps aus Drittanbieter-App-Stores
  • Geräterisiken: Jailbreak/Root, riskante iOS-Profile, gefährliche Zertifikate und veraltete Betriebssysteme
  • Netzwerkbedrohungen: Man-in-the-Middle-Angriffe und riskante Hotspots
Jede Detektion trägt den Jamf-Ereignistyp als Titel (zum Beispiel ACCESS_PHISHING_HOST) und enthält diejenigen der folgenden Felder, die Jamf für das jeweilige Ereignis sendet:
  • Das betroffene Gerät und die E-Mail-Adresse des Benutzers
  • Die App, mit Hashes, sofern verfügbar
  • Quell- und Ziel-IP-Adressen sowie die Zieldomain
  • Einen Link zum Ereignis in Jamf Security Cloud
Welche Felder vorhanden sind, hängt vom Ereignistyp ab. Geräterisiko-Ereignisse wie die Jailbreak-Detektion enthalten beispielsweise meist keine App- oder Netzwerkdetails. Die Jamf-Aktion Blocked wird als blockiert erfasst, Resolved-Ereignisse werden als abgeschwächt erfasst.
Nur der Threat-Events-Datenstream wird erfasst. Die Streams Access Events, App Insights, Device Data, Network Traffic und Vulnerability Data werden nicht erfasst.