Saltar al contenido principal
Jamf Internet Security (Jamf Security Cloud) transmite eventos de amenazas a Wirespeed en tiempo real mediante un flujo de datos Threat Events con un destino Generic HTTP. Cada evento (por ejemplo, un dominio de phishing bloqueado o una aplicación malintencionada encontrada en un dispositivo) se convierte en una detección en Wirespeed.

​
Configuración en Wirespeed

  1. Inicie sesión en Wirespeed y vaya a Integraciones > Añadir integración > Jamf Internet Security
  2. Introduzca un Source Name para identificar este inquilino de Jamf Security Cloud
  3. Haga clic en Integrar
  4. Seleccione Detalles del webhook
  5. Copie la Webhook URL y el Webhook Secret
La Webhook URL tiene la forma:

​
Configurar el flujo de datos en Jamf Security Cloud

  1. Inicie sesión en Jamf Security Cloud y vaya a Integrations > Data Streams
  2. Haga clic en New configuration
  3. Seleccione Threat Events como tipo de flujo de datos
  4. Seleccione Generic HTTP como tipo de destino y, a continuación, haga clic en Continue
  5. Introduzca un nombre de configuración (p. ej., Wirespeed)
  6. Rellene los detalles de conexión HTTP a partir de la Webhook URL de Wirespeed:
    • Protocol: https
    • Server Hostname/IP: la porción <API_HOST> de la URL
    • Port: 443
    • Endpoint: todo lo que sigue al host, empezando por /integration/webhook/... e incluyendo la cadena de consulta ?teamId=...&integrationId=...
  7. En Additional Headers, haga clic en Add header e introduzca:
    • Name: Authorization
    • Value: Bearer <WEBHOOK_SECRET>
  8. Haga clic en Test Configuration
  9. Active Enable configuration y haga clic en Save
La cabecera Authorization es obligatoria. Wirespeed rechaza las entregas que no incluyen el secreto de webhook correcto.
Documentación del flujo de datos Generic HTTP de Jamf

​
Qué se ingesta

Wirespeed ingesta todos los eventos del flujo Threat Events, incluidos:
  • Hosts y dominios de riesgo: destinos de phishing, malware, spam y cryptojacking
  • Aplicaciones malintencionadas y de riesgo: malware, adware, spyware, aplicaciones sideloaded y de tiendas de terceros
  • Riesgos del dispositivo: jailbreak/root, perfiles de iOS de riesgo, certificados peligrosos y sistemas operativos desactualizados
  • Amenazas de red: ataques man-in-the-middle y puntos de acceso de riesgo
Cada detección se titula con el tipo de evento de Jamf (por ejemplo, ACCESS_PHISHING_HOST) e incluye los campos que Jamf envía para ese evento de entre estos:
  • El dispositivo afectado y el correo electrónico del usuario
  • La aplicación, con hashes cuando estén disponibles
  • Las IP de origen y destino, y el dominio de destino
  • Un enlace de vuelta al evento en Jamf Security Cloud
Qué campos aparecen depende del tipo de evento. Por ejemplo, los eventos de riesgo del dispositivo como la detección de jailbreak suelen no tener detalles de aplicación ni de red. La acción Blocked de Jamf se registra como bloqueada, y los eventos Resolved se registran como mitigados.
Solo se ingesta el flujo de datos Threat Events. Los flujos Access Events, App Insights, Device Data, Network Traffic y Vulnerability Data no se ingestan.