> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Wiz

> Cloud-Sicherheitsdetektionen aus Wiz erfassen

Wiz verwendet Automation Rules, um **Threat Detections** per Webhook in Echtzeit an Wirespeed weiterzuleiten.

## Voraussetzungen

* Ein Wiz-Mandant mit Admin- oder Project-Admin-Berechtigungen
* Netzwerkverbindung von Wiz zu `https://api.wirespeed.co`

## Einrichtung in Wirespeed

1. Melden Sie sich bei Wirespeed an und navigieren Sie zu Integrationen > [**Integration hinzufügen**](https://app.wirespeed.co/settings/integrations?tab=browse) > **Wiz**
2. Lesen Sie diese Dokumentation und bestätigen Sie, dass Sie die erforderlichen Einrichtungsschritte abgeschlossen haben
3. Klicken Sie auf **Integrieren**
4. Wählen Sie **Webhook-Details**
5. Kopieren Sie sowohl die **Webhook-URL** als auch das **Webhook-Secret** – Sie benötigen beides für die Wiz-Konfiguration

## Einrichtung in Wiz

Stellen Sie zuerst die Wirespeed-**Integration** bereit und erstellen Sie anschließend die Automatisierungs**regel**, die sie verwendet.

### 1. Wirespeed-Integration bereitstellen

1. Melden Sie sich bei Ihrem **Wiz**-Mandanten an
2. Navigieren Sie zu **Settings** > **Deployments**
3. Klicken Sie auf **Add Deployment**
4. Suchen Sie nach **Wirespeed** und wählen Sie die Wirespeed-Integration aus
5. Füllen Sie das Integrationsformular aus:
   * **Name** – vergeben Sie einen aussagekräftigen Namen (z. B. „Wirespeed Integration“)
   * **Scope** – wählen Sie **All Projects**, sofern Sie keinen projektbezogenen Zugriff benötigen
   * **URL** – fügen Sie die **Webhook-URL** aus Wirespeed ein
   * **Token** – fügen Sie das **Webhook-Secret** aus Wirespeed ein; Wiz sendet es als
     `Authorization: Bearer <token>`
6. Klicken Sie auf **Add Integration**

### 2. Automatisierungsregel erstellen

1. Navigieren Sie zu **Automation** > **Automation Rules**
2. Klicken Sie auf **Add Automation Rule**
3. Geben Sie der Regel einen aussagekräftigen Namen (z. B. „Threat Detections an Wirespeed weiterleiten“)
4. Konfigurieren Sie unter **WHEN** den folgenden Auslöser, je nachdem, was Ihr Wiz-Mandant anbietet:
   * **Wenn `Detection` verfügbar ist**, wählen Sie **Detection** > **IS** > **Created**
   * **Wenn `Detection` nicht verfügbar ist** (abhängig von Lizenz oder Oberfläche), wählen Sie einen anderen verfügbaren
     Auslöser wie **Risk Issue** oder **Cloud Event** und fügen Sie dann Filter hinzu, damit die Regel nur
     bei **Threat Detection**-Befunden ausgelöst wird
5. Konfigurieren Sie unter **IF**, dass alle folgenden Bedingungen zutreffen:
   * Wiz erfordert für Detection-Regeln mindestens einen **IF**-Filter. Klicken Sie auf **Add Filter**, wählen Sie
     **Severity**, wählen Sie **equals one of** und wählen Sie **alle** Schweregrade (Critical, High,
     Medium, Low, Info). Wenn Sie alle Schweregrade auswählen, werden alle Detektionen weitergeleitet, ohne dass
     welche nach Schweregrad ausgeschlossen werden.
6. Fügen Sie unter **THEN** die **Wirespeed**-Aktion aus der zuvor bereitgestellten Integration hinzu
7. Speichern und aktivieren Sie die Automation Rule

> [!NOTE]
>
> Wiz wendet diese Automation Rule nur auf Detections an, deren Threat Detection Rule so konfiguriert ist,
> dass sie Threats erzeugt. Detections, die keine Threats erzeugen, werden nicht weitergeleitet.

> [!NOTE]
>
> Wirespeed authentifiziert eingehende Webhooks mit einem Bearer-Token. Wenn das **Token** in der
> Wirespeed-Integration nicht konfiguriert ist, werden alle Webhook-Zustellungen mit 401 abgelehnt.

## Was erfasst wird

Wirespeed empfängt und verarbeitet **Threat Detections** aus Wiz – Laufzeit-Sicherheitsereignisse, die
von Wiz Threat Detection Rules ausgelöst werden. Jede Detektion wird automatisch auf OCSF normalisiert und
angereichert mit:

* **Schweregrad** – Critical, High, Medium, Low oder Informational
* **MITRE ATT\&CK** – Aus der Detektion abgeleitete Taktiken und Techniken
* **Ressourcen** – Betroffene Cloud-Ressourcen, einschließlich Cloud-Konto, Region und Ressourcentyp
* **Auslösende Ereignisse** – Die zugrunde liegenden Cloud-Ereignisse (z. B. API-Aufrufe), die die Detektion ausgelöst haben,
  einschließlich Akteur-IP, IP-Reputation und Prozessbaum, sofern verfügbar

> [!NOTE]
>
> Wirespeed verarbeitet ausschließlich **Threat Detections** aus Wiz. Wiz Issues (Fehlkonfigurationen und
> Schwachstellen aus Controls) werden derzeit nicht erfasst.

## Fehlerbehebung

> [accordion] Es erscheinen keine Detektionen
>
> Prüfen Sie, ob Ihre Automation Rule aktiviert ist, mindestens einen **IF**-Filter enthält (zum Beispiel
> **Severity equals one of** mit allen ausgewählten Stufen) und auf **Threat Detections**
> beschränkt ist – entweder über einen `Detection`-Auslöser oder über einen anderen Auslöser (z. B. `Risk Issue`,
> `Cloud Event`) mit Filtern, die ihn auf Threat-Detection-Befunde einschränken. Vergewissern Sie sich, dass die
> Threat Detection Rule der Detection so konfiguriert ist, dass sie Threats erzeugt. Prüfen Sie den Ausführungsverlauf
> der Regel in Wiz auf Fehler oder fehlgeschlagene Zustellungen.

> [accordion] Viele geringwertige Befunde zur Sicherheitslage / Cloud-Konfiguration
>
> Die Regel leitet Cloud Findings statt Threat Detections weiter. Löschen oder deaktivieren Sie jede
> Automatisierungsregel, deren Auslöser Cloud Finding / Schwachstelle / Fehlkonfiguration ist, und vergewissern Sie sich,
> dass die aktive Regel wie oben beschrieben auf Threat Detection beschränkt ist.

> [accordion] Fehlgeschlagene Webhook-Zustellungen (401 Unauthorized)
>
> Stellen Sie sicher, dass das **Token** in der Wirespeed-Integration mit dem **Webhook-Secret** übereinstimmt, das
> in Wirespeed unter Webhook-Details angezeigt wird. Das Secret erneut zu kopieren und die Integration erneut zu speichern, ist die
> schnellste Lösung.

> [accordion] Fehlgeschlagene Webhook-Zustellungen (Netzwerk / Zeitüberschreitung)
>
> Stellen Sie sicher, dass Ihr Wiz-Mandant `https://api.wirespeed.co` über Port 443 erreichen kann. Wenn Sie IP-basierte
> Firewall-Regeln verwenden, setzen Sie die von der oben genannten GraphQL-Abfrage
> `dataCenterInfrastructureDetails` zurückgegebenen Quell-IPs auf die Zulassungsliste.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.