Zum Hauptinhalt springen
Die Sublime-Security-Integration verbindet sich mit einem API-Schlüssel mit der Sublime Platform API. Sie erfasst nur Nachrichtengruppen, die Sublime markiert hat oder die von Benutzern gemeldet wurden. Der vollständige Postfachverkehr wird nie abgerufen.

​
Unterstützte Daten

  • Detektionen werden aus markierten Nachrichtengruppen erstellt, eine Detektion pro Gruppe. Sublime fasst ähnliche Nachrichten zu Gruppen zusammen, sodass eine an viele Postfächer gesendete Kampagne zu einer einzigen Detektion wird. Jede Detektion enthält die auslösenden Regeln mit Schweregrad und Angriffsarten, den Absender, die Empfänger, den Betreff, Link-Klicks, Benutzermeldungen sowie die Klassifizierung und den Prüfstatus der Gruppe zum Zeitpunkt der Erfassung. Der Schweregrad der Detektion entspricht dem höchsten Schweregrad unter den auslösenden Regeln.
  • Zusammenfassungen von Nachrichtengruppen aus dem SIEM-Summary-Feed von Sublime werden als Protokolle für markierte und von Benutzern gemeldete Gruppen gespeichert. Sie enthalten Absender, Absenderdomänen, Betreffzeilen, Quell-IPs, Anhangsnamen und -Hashes, Namen der Detektionsregeln, Nachrichten- und Empfängeranzahlen sowie Link-Klicks.
Absender, Empfänger, klickende Postfächer, Quell- und Client-IPs, Hosts angeklickter URLs und Anhang-Hashes werden als Observables indiziert.

​
Voraussetzungen

  1. Navigieren Sie im Sublime-Dashboard zu Automate → API und erstellen Sie einen API-Schlüssel. Speichern Sie den Schlüssel, sobald er angezeigt wird; er wird nur einmal angezeigt.
  2. Notieren Sie den API-Host aus der URL Ihres Dashboards, zum Beispiel platform.sublime.security oder na-east-3.platform.sublime.security.

​
Sublime Security verbinden

  1. Navigieren Sie in Wirespeed zu Einstellungen → Integrationen → Integration hinzufügen → Sublime Security.
  2. Geben Sie den API-Host und den API-Schlüssel ein.
  3. Speichern und aktivieren Sie die Integration.

​
Synchronisierungsverhalten

Detektionen und Zusammenfassungen werden in festen Zeitfenstern abgefragt, die der aktuellen Zeit um zwei Minuten nachlaufen. Bei der ersten Ausführung werden die letzten drei Tage abgerufen. Der Paginierungsstatus wird erst fortgeschrieben, nachdem Wirespeed eine Seite erfolgreich erfasst hat, sodass eine unterbrochene Ausführung dort fortgesetzt wird, wo sie angehalten wurde. Nachrichtengruppen, die in Sublime bereits als benign oder simulation klassifiziert sind, werden nicht als Detektionen erfasst. Wenn einer bereits erfassten Gruppe eine neue Nachricht hinzugefügt wird, bleibt die bestehende Detektion erhalten und die neue Zusammenfassung wird als Protokoll gespeichert.

​
Nicht enthalten

Die Integration ruft keine Nachrichteninhalte, Roh-EML-Dateien oder Message Data Models ab und synchronisiert keine Postfächer als Benutzer. Detektionen werden nach der Erfassung nicht aktualisiert, und das Schließen oder Neukategorisieren einer Wirespeed-Detektion prüft, isoliert oder stellt keine Nachrichten in Sublime wieder her.