> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# ThreatLocker

> Durchgesetzte ThreatLocker-Ablehnungen erfassen und das Endgeräteinventar synchronisieren

ThreatLocker verbindet sich über die PortalAPI mit Wirespeed. Wirespeed synchronisiert das Endgeräteinventar und fragt das Unified Audit nach durchgesetzten Ablehnungen ab.

> [!NOTE]
>
> ThreatLocker-Portalbenutzer sind Administratorkonten und kein Verzeichnis der Personen, die die Endgeräte nutzen. Wirespeed behandelt Benutzernamen aus Endgeräten und Audit-Ereignissen als Observables. Verbinden Sie Ihren Identitätsanbieter separat, um Verzeichniskontext zu erhalten.

## ThreatLocker-API-Benutzer erstellen

1. Navigieren Sie im ThreatLocker-Portal zu **Users > API Users**.
2. Erstellen Sie für Wirespeed einen API-Benutzer mit Zugriff auf die Zielorganisation.
3. Erteilen Sie dem API-Benutzer die Berechtigung, Computer und das Unified Audit anzuzeigen.
4. Generieren und kopieren Sie das API-Token. ThreatLocker zeigt es nur einmal an.

Das Token wird unverändert im Header `Authorization` gesendet. Fügen Sie dem PortalAPI-Token kein Präfix `Bearer` hinzu.

## Instanz und Organisation ermitteln

Der Hostname Ihrer PortalAPI hat die Form `portalapi.INSTANCE.threatlocker.com`. Geben Sie in Wirespeed nur den Wert `INSTANCE` ein, etwa `g`, `ca1` oder `eu1`.

Öffnen Sie für jede Integration **Manage > Organizations**, wählen Sie die Zielorganisation aus und kopieren Sie deren GUID unter **Organization ID**. Verwenden Sie für einen Direktkunden die GUID der primären Organisation und für einen von einem MSP verwalteten Kunden die GUID der betreffenden untergeordneten Organisation. Das API-Token einer übergeordneten MSP-Organisation kann für die Integrationen mehrerer untergeordneter Organisationen wiederverwendet werden, da Wirespeed jede Anfrage auf die eingegebene **Organisations-ID** beschränkt.

> [!WARNING]
>
> Erstellen Sie pro ThreatLocker-Organisation eine Wirespeed-Integration. Jede Integration liest nur die Organisation, deren ID für sie konfiguriert ist.

## ThreatLocker in Wirespeed verbinden

1. Navigieren Sie in Wirespeed zu **Integrationen** > [**Integration hinzufügen**](https://app.wirespeed.co/settings/integrations?tab=browse) > **ThreatLocker**.
2. Geben Sie die PortalAPI-Instanz ein.
3. Geben Sie die **Organisations-ID** der Zielorganisation ein.
4. Fügen Sie das unveränderte ThreatLocker-API-Token unter **API-Token** ein.
5. Schließen Sie das Hinzufügen der Integration ab.

Wirespeed validiert das Token, indem es einen Computer und eine kurze Unified-Audit-Suche aus der konfigurierten Organisation abruft. Die Einrichtung schlägt fehl, wenn der API-Benutzer eines von beiden nicht lesen kann.

## Erfasste Daten

Wirespeed synchronisiert:

* ThreatLocker-Computer: ID, Hostname, Betriebssystem, letzter Check-in und angemeldeter Benutzer, sofern die PortalAPI ihn zurückgibt
* Echte Ablehnungen aus dem Unified Audit: Aktionen, die ThreatLocker tatsächlich blockiert hat, ohne simulierte Ablehnungen im reinen Überwachungsmodus. Jede Ablehnung wird zu einer blockierten Detektion. Endgerät, Benutzer, Prozess, Dateipfad und SHA-256, die zutreffende Richtlinie sowie Quell- und Ziel-IPs werden übernommen, wenn die PortalAPI sie für die jeweilige Ablehnung zurückgibt.

Die erste Synchronisierung liest die vergangenen 24 Stunden. Spätere Synchronisierungen setzen bei der neuesten bereits erfassten Ablehnung fort. Jede Synchronisierung liest höchstens 10.000 Ablehnungen. Enthält ein Zeitfenster mehr, setzt die nächste Synchronisierung bei der zuletzt gelesenen Ablehnung fort.

## Aktuelle Einschränkungen

* Die Isolierung und Sperrung von Endgeräten ist über diese Integration nicht verfügbar.
* ThreatLocker weist Unified-Audit-Ablehnungen keinen Schweregrad zu, daher wird jede Ablehnung mit mittlerem Schweregrad erfasst.
* Nur echte Ablehnungen werden erfasst. Zugelassene Aktionen und Warnungen von ThreatLocker Detect werden nicht erfasst.
* Die Kategorisierung der Detektionen eskaliert nicht, bis WDC-Regeln für ThreatLocker definiert sind.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.