Saltar al contenido principal

​
Información general

Wirespeed se conecta a CyberArk Identity Security Platform Shared Services (ISPSS) para:
  • Sincronizar usuarios tanto desde CyberArk Privilege Cloud (cuentas del vault) como desde CyberArk Identity (usuarios del directorio federado).
  • Ingestar eventos de auditoría de los servicios PAM (Privilege Cloud), IDP (Identity) y ADM (Admin) como registros, y ejecutar detecciones gestionadas de Wirespeed sobre ellos (fallos de MFA, fallos de inicio de sesión en el vault, acceso no autorizado a safes y contraseñas).
  • Remediar usuarios mediante Privilege Cloud (deshabilitar / habilitar / terminar sesiones PSM) e Identity Administration (bloquear / desbloquear / terminar sesiones SSO), con enrutamiento automático según la población de origen del usuario.
Esta integración está en Beta. Las acciones de remediación están implementadas, pero deshabilitadas hasta que la integración pase a GA.

​
Requisitos previos

Necesitará:
  • Un inquilino CyberArk Identity Security Platform Shared Services (ISPSS) con los servicios Privilege Cloud, Identity y/o Admin habilitados.
  • Permiso para crear aplicaciones web OAuth2 y usuarios de servicio en Identity Administration.
  • Permiso para crear una entrada de integración SIEM en el espacio de administración de Privilege Cloud.
Los inquilinos de CyberArk solo permiten hasta dos integraciones SIEM a la vez. Wirespeed consume una ranura.

​
Configuración

La configuración implica cuatro elementos en su inquilino de CyberArk:
  1. Un usuario de servicio con el que autenticarse.
  2. Dos asignaciones de rol para ese usuario de servicio (una para Privilege Cloud y otra para Identity Administration).
  3. Una aplicación web OAuth2 Server (usada solo para el flujo de auditoría/SIEM).
  4. Una entrada de integración SIEM para generar una clave API.
Siga los pasos siguientes en orden.

​
Paso 1 — Crear el usuario de servicio

  1. Inicie sesión en Identity Administration como administrador.
  2. Vaya a Core Services → Users y haga clic en Add User.
  3. Complete los datos del usuario. Establezca el nombre de usuario en algo memorable, por ejemplo wirespeed-svc@<your-tenant>. El sufijo @<your-tenant> se añade automáticamente.
  4. En Status, marque:
    • Is Service User
    • Is OAuth confidential client
    • Password never expires
  5. Haga clic en Create User. Anote el nombre de usuario y la contraseña: los necesitará más adelante.

​
Paso 2 — Asignar roles al usuario de servicio

El usuario de servicio necesita dos asignaciones de rol: una para gestionar las operaciones del directorio de Identity y otra para acceder a las API de Privilege Cloud.

​
2a. Rol de Identity Administration

  1. Vaya a Core Services → Roles y haga clic en Add Role.
  2. Asígnele un nombre (por ejemplo, Wirespeed Integration).
  3. En la pestaña Administrative Rights, añada:
    • User Management — necesario para sincronizar y bloquear usuarios del directorio de Identity.
    • Report Management — necesario para la consulta Redrock que obtiene usuarios del directorio federado (DsUsers).
  4. En la pestaña Members, añada el usuario de servicio.
  5. Haga clic en Save.

​
2b. Rol de administrador de Privilege Cloud

  1. En Identity Administration, busque el rol integrado Privilege Cloud Administrators (o cualquier rol que conceda derechos equivalentes; consulte la documentación de roles de Privilege Cloud de CyberArk).
  2. En la pestaña Members, añada el usuario de servicio.
  3. Haga clic en Save.
La asignación del rol de Privilege Cloud es obligatoria para que la integración pueda llamar a las API de PasswordVault. Sin ella, el token de plataforma que genera Wirespeed será rechazado con 401 por los endpoints de PasswordVault.

​
Paso 3 — Crear la aplicación web OAuth2 de auditoría (plantilla Server)

Esta aplicación se usa solo para la SIEM Audit API. Todas las demás llamadas a la API de Wirespeed usan un token de plataforma genérico, que no requiere una aplicación web personalizada.
  1. Vaya a Apps & Widgets → Web Apps y haga clic en Add Web Apps.
  2. En la pestaña Custom, busque OAuth2 Server, haga clic en Add y confirme.
  3. En la pestaña Settings, establezca:
    • Application ID: WirespeedAudit (o cualquier identificador apto para URL; anótelo para más adelante).
    • Application Name: Wirespeed Audit.
  4. En la pestaña General Usage, establezca Client ID Type en Confidential.
  5. En la pestaña Tokens, establezca:
    • Token Type: JwtRS256.
    • Auth Methods: active Client Creds.
    • Token Lifetime: al menos 15 minutos.
  6. En la pestaña Scope, haga clic en Add y cree un ámbito:
    • Name: isp.audit.events:read
  7. En la pestaña Advanced, pegue este script y haga clic en Save:
  8. En la pestaña Permissions, añada el usuario de servicio del paso 1 con los permisos Run, View, Grant y Automatically Deploy.
  9. Haga clic en Save en la parte superior.

​
Paso 4 — Crear la entrada de integración SIEM

  1. Cambie al espacio Administration (el portal de administración a nivel de inquilino).
  2. Vaya a My environment → Integrations → Export to SIEM.
  3. Haga clic en Create → Create SIEM integration.
  4. Asígnele un nombre (por ejemplo, Wirespeed) y haga clic en Apply.
  5. Anote la API key que se genera: solo se muestra una vez. La página también muestra una API base URL; en general no necesita copiarla (Wirespeed la deriva del token de plataforma), pero téngala a mano por si la derivación automática no funciona para su inquilino.

​
Paso 5 — Conectar Wirespeed

  1. En Wirespeed, vaya a Integraciones → Añadir integración → Idira (anteriormente CyberArk).
  2. Acepte el aviso de Beta.
  3. Facilite:
  4. Haga clic en Add. Wirespeed genera un token de plataforma, deriva su subdominio de Privilege Cloud a partir de él e inicia la primera sincronización de auditoría y usuarios.
El subdominio de Privilege Cloud se deriva automáticamente del token de plataforma en la primera conexión y se usa para construir tanto la URL de PasswordVault (<sub>.privilegecloud.cyberark.cloud) como la URL de auditoría (<sub>.audit.cyberark.cloud). Si su inquilino usa una URL de auditoría no estándar (por ejemplo, hosts compartidos por región como eu.audit.cyberark.cloud), establezca manualmente la anulación de URL base de la API de auditoría en las opciones avanzadas de la integración.

​
Qué se ingesta

​
Usuarios (diariamente a las 14:00 UTC, y de inmediato al conectar)

Wirespeed sincroniza ambas poblaciones de usuarios de CyberArk porque son conjuntos distintos con rutas de remediación diferentes: El directoryId de cada usuario lleva el prefijo del origen (pcloud:17, ds:a41ca4c8-…) para que las acciones de remediación sepan qué API llamar. Una misma persona puede aparecer una vez bajo cada prefijo si existe en ambas poblaciones. Los usuarios de componentes (CPM, PSM, ENE, etc.) se filtran de la sincronización de PCloud: solo se muestran cuentas humanas y de servicio reales.

​
Registros de auditoría (cada minuto)

Wirespeed consulta la SIEM Audit API en busca de eventos bajo tres códigos de aplicación:
  • PAM — Privilege Cloud (autenticación en el vault, acceso a credenciales, sesiones privilegiadas, rotación de credenciales, gestión de safes).
  • IDP — Identity (autenticación, MFA, cierre de sesión, SAML, comprobaciones de riesgo).
  • ADM — Admin (control de acceso, gestión de usuarios, cambios de configuración).
En la primera conexión, Wirespeed recupera los últimos 7 días de eventos (la ventana de retención del flujo de auditoría). Después, cada consulta abre una nueva ventana temporal de createQuery desde una marca de agua de inicio almacenada hasta ahora, y usa cursorRef solo para paginar dentro de esa ventana.

​
Detecciones gestionadas

CyberArk no genera detecciones propias. Wirespeed evalúa los eventos de auditoría recopilados para: Las detecciones del vault ignoran las cuentas de componentes de CyberArk (connector, PVWA, CPM, PSM y usuarios de servicio similares). Cada detección se puede desactivar por equipo en Configuración > Reglas de detección > Gestionadas por Wirespeed.

​
Remediación

Mientras la integración está en Beta, todas las acciones de remediación devuelven un error indicando que la remediación aún no está habilitada. Una vez promovida a GA, estarán disponibles las acciones siguientes:
La acción Revocar sesiones de usuario requiere configuración adicional de Privilege Cloud:
  • AllowPSMNotifications debe estar establecido en Yes en la configuración de PVWA.
  • El usuario de servicio debe ser miembro del grupo Terminating Live Sessions Users and Groups en PVWA.

​
Límites y salvedades

  • Retención del flujo de auditoría: 7 días. Si Wirespeed no puede consultar durante más tiempo (por ejemplo, una interrupción prolongada), el vacío es irrecuperable.
  • Límite de velocidad del flujo de auditoría: 1 llamada a la API por minuto e integración. Wirespeed consulta con un cron de 1 minuto y lo respeta.
  • Lista de usuarios de PasswordVault: limitada a 6000 usuarios en una sola respuesta. Los inquilinos de vault más grandes se truncarían actualmente.
  • Integraciones SIEM por inquilino: 2. Wirespeed consume una.
  • Credenciales del usuario de servicio: rote la contraseña del usuario de servicio en Identity Administration y, a continuación, actualícela en la configuración de la integración de Wirespeed.
  • La terminación de sesiones en vivo de PSM requiere AllowPSMNotifications=Yes en PVWA y que el usuario de servicio esté en el grupo de configuración del vault Terminating Live Sessions Users and Groups. Sin eso, solo funciona la terminación de sesiones del lado SSO (sigue siendo eficaz para bloquear nuevas sesiones privilegiadas).

​
Solución de problemas

Si ve errores de autenticación tras la configuración, las causas más habituales son: