Zum Hauptinhalt springen
Diese Integration befindet sich derzeit in der Beta-Phase. Sandfly-Warnergebnisse werden als Informationsereignisse erfasst, während wir detailliertere Kategorisierungszuordnungen fertigstellen.
Die Sandfly-Integration erfasst Linux-Detektionsergebnisse aus Sandfly und korreliert sie mit dem Host-Bestand in Wirespeed.

​
Funktionen dieser Integration

  • Erfasst Sandfly-Ergebnisse mit Status alert als Wirespeed-Detektionen
  • Synchronisiert Sandfly-Hosts als Endgeräte-Assets
  • Korreliert Detektionen mit dem Endgerätebestand in Wirespeed, um Host-Kontext bereitzustellen

​
Voraussetzungen

Stellen Sie vor der Einrichtung sicher, dass Sie über Folgendes verfügen:
  1. Den Hostnamen oder die IP-Adresse Ihres Sandfly-Servers (von Wirespeed aus erreichbar)
  2. Einen dedizierten Sandfly-API-Benutzer mit Lesezugriff (empfohlene Rolle: api_result_read)
  3. Benutzername und Passwort des API-Benutzers

​
Schritt 1: Schreibgeschützten API-Benutzer in Sandfly erstellen

Erstellen Sie in Sandfly einen dedizierten Integrationsbenutzer und weisen Sie ihm ausschließlich Leseberechtigungen zu (vorzugsweise api_result_read).
Verwenden Sie für Wirespeed ein dediziertes Dienstkonto statt eines persönlichen Admin-Kontos.

​
Schritt 2: Sandfly in Wirespeed hinzufügen

  1. Gehen Sie zu Integrationen > Integration hinzufügen
  2. Suchen Sie nach Sandfly
  3. Geben Sie Folgendes ein:
    • Sandfly-Host (Hostname oder IP, ohne Protokoll/Pfad; zum Beispiel sandfly.company.com oder 142.250.190.46)
    • API-Benutzername
    • API-Passwort
  4. Klicken Sie auf Integrieren
Beim Onboarding prüft Wirespeed:
  • Korrektheit der Zugangsdaten (/v4/auth/login)
  • API-Erreichbarkeit und Token-Gültigkeit (/v4/version)

​
Verhalten bei der Erfassung von Detektionen

  • Nur Ergebnisse mit Status alert werden erfasst
  • Ergebnisse mit pass und error werden ignoriert
  • Auf die Whitelist gesetzte und überholte Ergebnisse werden ausgeschlossen
  • Cursor-basiertes Polling verwendet time_since, um Lücken und Duplikate zu vermeiden

​
Endgerätebestand und Anreicherung

  • Die Synchronisierung des Host-Bestands verwendet Sandfly-Host-Zusammenfassungen (/v4/hosts?summary=true)
  • Host-Kontext wird Detektionen über die Endgeräte-Korrelation von Wirespeed zugeordnet

​
Fehlerbehebung

​
Authentifizierungs- oder Validierungsfehler

Prüfen Sie:
  1. Hostname/IP ist korrekt und von Wirespeed aus erreichbar
  2. Wirespeed kann Ihre Sandfly-API über HTTPS erreichen
  3. Benutzername/Passwort sind gültig
  4. Der API-Benutzer hat Lesezugriff auf Ergebnisse und Hosts

​
Keine Detektionen sichtbar

Prüfen Sie:
  1. Sandfly hat aktuelle Ergebnisse mit alert (nicht nur pass/error)
  2. Die Ergebnisse sind nicht auf der Whitelist oder überholt
  3. Die erste Synchronisierung kann je nach Volumen einige Minuten dauern

​
Weitere Ressourcen