Zum Hauptinhalt springen
Wiz verwendet Automation Rules, um Threat Detections per Webhook in Echtzeit an Wirespeed weiterzuleiten.

​
Voraussetzungen

  • Ein Wiz-Mandant mit Admin- oder Project-Admin-Berechtigungen
  • Netzwerkverbindung von Wiz zu https://api.wirespeed.co

​
Einrichtung in Wirespeed

  1. Melden Sie sich bei Wirespeed an und navigieren Sie zu Integrationen > Integration hinzufügen > Wiz
  2. Lesen Sie diese Dokumentation und bestätigen Sie, dass Sie die erforderlichen Einrichtungsschritte abgeschlossen haben
  3. Klicken Sie auf Integrieren
  4. Wählen Sie Webhook-Details
  5. Kopieren Sie sowohl die Webhook-URL als auch das Webhook-Secret – Sie benötigen beides für die Wiz-Konfiguration

​
Einrichtung in Wiz

Stellen Sie zuerst die Wirespeed-Integration bereit und erstellen Sie anschließend die Automatisierungsregel, die sie verwendet.

​
1. Wirespeed-Integration bereitstellen

  1. Melden Sie sich bei Ihrem Wiz-Mandanten an
  2. Navigieren Sie zu Settings > Deployments
  3. Klicken Sie auf Add Deployment
  4. Suchen Sie nach Wirespeed und wählen Sie die Wirespeed-Integration aus
  5. Füllen Sie das Integrationsformular aus:
    • Name – vergeben Sie einen aussagekräftigen Namen (z. B. „Wirespeed Integration“)
    • Scope – wählen Sie All Projects, sofern Sie keinen projektbezogenen Zugriff benötigen
    • URL – fügen Sie die Webhook-URL aus Wirespeed ein
    • Token – fügen Sie das Webhook-Secret aus Wirespeed ein; Wiz sendet es als Authorization: Bearer <token>
  6. Klicken Sie auf Add Integration

​
2. Automatisierungsregel erstellen

  1. Navigieren Sie zu Automation > Automation Rules
  2. Klicken Sie auf Add Automation Rule
  3. Geben Sie der Regel einen aussagekräftigen Namen (z. B. „Threat Detections an Wirespeed weiterleiten“)
  4. Konfigurieren Sie unter WHEN den folgenden Auslöser, je nachdem, was Ihr Wiz-Mandant anbietet:
    • Wenn Detection verfügbar ist, wählen Sie Detection > IS > Created
    • Wenn Detection nicht verfügbar ist (abhängig von Lizenz oder Oberfläche), wählen Sie einen anderen verfügbaren Auslöser wie Risk Issue oder Cloud Event und fügen Sie dann Filter hinzu, damit die Regel nur bei Threat Detection-Befunden ausgelöst wird
  5. Konfigurieren Sie unter IF, dass alle folgenden Bedingungen zutreffen:
    • Wiz erfordert für Detection-Regeln mindestens einen IF-Filter. Klicken Sie auf Add Filter, wählen Sie Severity, wählen Sie equals one of und wählen Sie alle Schweregrade (Critical, High, Medium, Low, Info). Wenn Sie alle Schweregrade auswählen, werden alle Detektionen weitergeleitet, ohne dass welche nach Schweregrad ausgeschlossen werden.
  6. Fügen Sie unter THEN die Wirespeed-Aktion aus der zuvor bereitgestellten Integration hinzu
  7. Speichern und aktivieren Sie die Automation Rule
Wiz wendet diese Automation Rule nur auf Detections an, deren Threat Detection Rule so konfiguriert ist, dass sie Threats erzeugt. Detections, die keine Threats erzeugen, werden nicht weitergeleitet.
Wirespeed authentifiziert eingehende Webhooks mit einem Bearer-Token. Wenn das Token in der Wirespeed-Integration nicht konfiguriert ist, werden alle Webhook-Zustellungen mit 401 abgelehnt.

​
Was erfasst wird

Wirespeed empfängt und verarbeitet Threat Detections aus Wiz – Laufzeit-Sicherheitsereignisse, die von Wiz Threat Detection Rules ausgelöst werden. Jede Detektion wird automatisch auf OCSF normalisiert und angereichert mit:
  • Schweregrad – Critical, High, Medium, Low oder Informational
  • MITRE ATT&CK – Aus der Detektion abgeleitete Taktiken und Techniken
  • Ressourcen – Betroffene Cloud-Ressourcen, einschließlich Cloud-Konto, Region und Ressourcentyp
  • Auslösende Ereignisse – Die zugrunde liegenden Cloud-Ereignisse (z. B. API-Aufrufe), die die Detektion ausgelöst haben, einschließlich Akteur-IP, IP-Reputation und Prozessbaum, sofern verfügbar
Wirespeed verarbeitet ausschließlich Threat Detections aus Wiz. Wiz Issues (Fehlkonfigurationen und Schwachstellen aus Controls) werden derzeit nicht erfasst.

​
Fehlerbehebung

Prüfen Sie, ob Ihre Automation Rule aktiviert ist, mindestens einen IF-Filter enthält (zum Beispiel Severity equals one of mit allen ausgewählten Stufen) und auf Threat Detections beschränkt ist – entweder über einen Detection-Auslöser oder über einen anderen Auslöser (z. B. Risk Issue, Cloud Event) mit Filtern, die ihn auf Threat-Detection-Befunde einschränken. Vergewissern Sie sich, dass die Threat Detection Rule der Detection so konfiguriert ist, dass sie Threats erzeugt. Prüfen Sie den Ausführungsverlauf der Regel in Wiz auf Fehler oder fehlgeschlagene Zustellungen.
Die Regel leitet Cloud Findings statt Threat Detections weiter. Löschen oder deaktivieren Sie jede Automatisierungsregel, deren Auslöser Cloud Finding / Schwachstelle / Fehlkonfiguration ist, und vergewissern Sie sich, dass die aktive Regel wie oben beschrieben auf Threat Detection beschränkt ist.
Stellen Sie sicher, dass das Token in der Wirespeed-Integration mit dem Webhook-Secret übereinstimmt, das in Wirespeed unter Webhook-Details angezeigt wird. Das Secret erneut zu kopieren und die Integration erneut zu speichern, ist die schnellste Lösung.
Stellen Sie sicher, dass Ihr Wiz-Mandant https://api.wirespeed.co über Port 443 erreichen kann. Wenn Sie IP-basierte Firewall-Regeln verwenden, setzen Sie die von der oben genannten GraphQL-Abfrage dataCenterInfrastructureDetails zurückgegebenen Quell-IPs auf die Zulassungsliste.