Zum Hauptinhalt springen
ThreatLocker verbindet sich über die PortalAPI mit Wirespeed. Wirespeed synchronisiert das Endgeräteinventar und fragt das Unified Audit nach durchgesetzten Ablehnungen ab.
ThreatLocker-Portalbenutzer sind Administratorkonten und kein Verzeichnis der Personen, die die Endgeräte nutzen. Wirespeed behandelt Benutzernamen aus Endgeräten und Audit-Ereignissen als Observables. Verbinden Sie Ihren Identitätsanbieter separat, um Verzeichniskontext zu erhalten.

​
ThreatLocker-API-Benutzer erstellen

  1. Navigieren Sie im ThreatLocker-Portal zu Users > API Users.
  2. Erstellen Sie für Wirespeed einen API-Benutzer mit Zugriff auf die Zielorganisation.
  3. Erteilen Sie dem API-Benutzer die Berechtigung, Computer und das Unified Audit anzuzeigen.
  4. Generieren und kopieren Sie das API-Token. ThreatLocker zeigt es nur einmal an.
Das Token wird unverändert im Header Authorization gesendet. Fügen Sie dem PortalAPI-Token kein Präfix Bearer hinzu.

​
Instanz und Organisation ermitteln

Der Hostname Ihrer PortalAPI hat die Form portalapi.INSTANCE.threatlocker.com. Geben Sie in Wirespeed nur den Wert INSTANCE ein, etwa g, ca1 oder eu1. Öffnen Sie für jede Integration Manage > Organizations, wählen Sie die Zielorganisation aus und kopieren Sie deren GUID unter Organization ID. Verwenden Sie für einen Direktkunden die GUID der primären Organisation und für einen von einem MSP verwalteten Kunden die GUID der betreffenden untergeordneten Organisation. Das API-Token einer übergeordneten MSP-Organisation kann für die Integrationen mehrerer untergeordneter Organisationen wiederverwendet werden, da Wirespeed jede Anfrage auf die eingegebene Organisations-ID beschränkt.
Erstellen Sie pro ThreatLocker-Organisation eine Wirespeed-Integration. Jede Integration liest nur die Organisation, deren ID für sie konfiguriert ist.

​
ThreatLocker in Wirespeed verbinden

  1. Navigieren Sie in Wirespeed zu Integrationen > Integration hinzufügen > ThreatLocker.
  2. Geben Sie die PortalAPI-Instanz ein.
  3. Geben Sie die Organisations-ID der Zielorganisation ein.
  4. Fügen Sie das unveränderte ThreatLocker-API-Token unter API-Token ein.
  5. Schließen Sie das Hinzufügen der Integration ab.
Wirespeed validiert das Token, indem es einen Computer und eine kurze Unified-Audit-Suche aus der konfigurierten Organisation abruft. Die Einrichtung schlägt fehl, wenn der API-Benutzer eines von beiden nicht lesen kann.

​
Erfasste Daten

Wirespeed synchronisiert:
  • ThreatLocker-Computer: ID, Hostname, Betriebssystem, letzter Check-in und angemeldeter Benutzer, sofern die PortalAPI ihn zurückgibt
  • Echte Ablehnungen aus dem Unified Audit: Aktionen, die ThreatLocker tatsächlich blockiert hat, ohne simulierte Ablehnungen im reinen Überwachungsmodus. Jede Ablehnung wird zu einer blockierten Detektion. Endgerät, Benutzer, Prozess, Dateipfad und SHA-256, die zutreffende Richtlinie sowie Quell- und Ziel-IPs werden übernommen, wenn die PortalAPI sie für die jeweilige Ablehnung zurückgibt.
Die erste Synchronisierung liest die vergangenen 24 Stunden. Spätere Synchronisierungen setzen bei der neuesten bereits erfassten Ablehnung fort. Jede Synchronisierung liest höchstens 10.000 Ablehnungen. Enthält ein Zeitfenster mehr, setzt die nächste Synchronisierung bei der zuletzt gelesenen Ablehnung fort.

​
Aktuelle Einschränkungen

  • Die Isolierung und Sperrung von Endgeräten ist über diese Integration nicht verfügbar.
  • ThreatLocker weist Unified-Audit-Ablehnungen keinen Schweregrad zu, daher wird jede Ablehnung mit mittlerem Schweregrad erfasst.
  • Nur echte Ablehnungen werden erfasst. Zugelassene Aktionen und Warnungen von ThreatLocker Detect werden nicht erfasst.
  • Die Kategorisierung der Detektionen eskaliert nicht, bis WDC-Regeln für ThreatLocker definiert sind.