Zum Hauptinhalt springen
WatchGuard EDR befindet sich derzeit in der Beta
WatchGuard EDR verbindet sich über die öffentliche API von WatchGuard Cloud mit Wirespeed. Wirespeed fragt Sicherheitsereignisse aus Endpoint Security ab (Malware, Exploits, Angriffsindikatoren und mehr), synchronisiert das Geräteinventar und kann Geräte vom Netzwerk isolieren. Diese Integration umfasst in WatchGuard Cloud verwaltete WatchGuard-Endpoint-Security-Produkte wie WatchGuard EDR, EPDR und Advanced EPDR. Verwenden Sie für Firebox-Firewallprotokolle die Integration WatchGuard Firebox.

​
Voraussetzungen

  • Eine Operatorrolle in WatchGuard Cloud, die den API-Zugriff auf der Seite Managed Access anzeigen und aktivieren kann
  • Eine WatchGuard-Endpoint-Security-Lizenz für das Konto, dessen Geräte Wirespeed überwachen soll

​
API-Zugriff in WatchGuard Cloud aktivieren

WatchGuard beschreibt diese Schritte in den Anleitungen Authentication API und Endpoint Security Management API.
  1. Melden Sie sich bei WatchGuard Cloud an.
  2. Navigieren Sie zu Administration > Managed Access.
  3. Aktivieren Sie den API-Zugriff, falls er noch nicht aktiviert ist.
  4. Kopieren Sie den API Key.
  5. Kopieren Sie die Access ID mit Lese- und Schreibzugriff und legen Sie ihr Password fest oder kopieren Sie es.
  6. Notieren Sie die Region aus der auf der Seite angezeigten API-URL, zum Beispiel api.usa.cloud.watchguard.com. Die Region ist usa, deu oder jpn.
Wirespeed benötigt Zugangsdaten mit Lese- und Schreibzugriff, um Geräte zu isolieren. Um schreibgeschützte Zugangsdaten zu verwenden, aktivieren Sie beim Hinzufügen der Integration in den erweiterten Optionen Schreibgeschützt (nicht empfohlen). Wirespeed erfasst dann Ereignisse und Geräte, kann aber keine Endgeräte isolieren.

​
Konto-ID ermitteln

Die Konto-ID kennzeichnet das WatchGuard-Cloud-Konto, dessen Geräte zum Wirespeed-Team gehören, zum Beispiel WGC-1-123abc456 oder ACC-1234567. Öffnen Sie in WatchGuard Cloud Administration > My Account und kopieren Sie die Account ID.

​
Serviceanbieter

Ein WatchGuard-Cloud-Serviceanbieter kann jedes verwaltete Konto mit seinen eigenen API-Zugangsdaten verbinden:
  1. Verwenden Sie Access ID, Password und API Key des Serviceanbieterkontos.
  2. Geben Sie als Konto-ID die ID des verwalteten Kontos ein, nicht die des Serviceanbieters.
  3. Erstellen Sie pro verwaltetem Konto eine Wirespeed-Integration.
Wirespeed fordert über die Authorization API von WatchGuard Cloud ein auf das verwaltete Konto beschränktes Token an. Die Einrichtung schlägt fehl, wenn der Serviceanbieter dieses Konto nicht verwaltet.

​
Integration in Wirespeed hinzufügen

  1. Navigieren Sie in Wirespeed zu Integrationen > Integration hinzufügen > WatchGuard EDR.
  2. Geben Sie die Region ein: usa, deu oder jpn.
  3. Geben Sie Access ID, Passwort und API-Schlüssel ein.
  4. Geben Sie die Konto-ID ein.
  5. Schließen Sie die Integration ab.
Beim Verbinden fordert Wirespeed ein Zugriffstoken an und liest dann die Lizenzen des Kontos, ein Gerät und die Malware-Sicherheitsereignisse. Die Einrichtung schlägt fehl, wenn eine dieser Anfragen abgelehnt wird.

​
Reaktionsaktionen

Wirespeed kann von WatchGuard verwaltete Geräte isolieren und ihre Isolierung aufheben. Isolierte Geräte zeigen eine Meldung an, dass Ihr Sicherheitsteam das Gerät vom Netzwerk isoliert hat.

​
Aktuelle Einschränkungen

  • Die Kategorisierung der Detektionen löst keine Eskalation aus, bis WDC-Regeln für WatchGuard EDR definiert sind.