Saltar al contenido principal
La integración de Sublime Security se conecta a la Sublime Platform API con una clave API. Solo recopila grupos de mensajes que Sublime marcó o que los usuarios notificaron. Nunca obtiene el tráfico completo del buzón.

​
Datos admitidos

  • Las detecciones se crean a partir de grupos de mensajes marcados, una detección por grupo. Sublime agrupa mensajes similares, de modo que una campaña enviada a muchos buzones se convierte en una detección. Cada detección incluye las reglas marcadas con su gravedad y tipos de ataque, el remitente, los destinatarios, el asunto, los clics en enlaces, las informes de usuarios y la clasificación y el estado de revisión del grupo en el momento de la ingesta. La gravedad de la detección es la gravedad más alta entre las reglas marcadas.
  • Los resúmenes de grupos de mensajes del feed de resúmenes SIEM de Sublime se almacenan como registros tanto para grupos marcados como notificados por usuarios. Incluyen remitentes, dominios del remitente, asuntos, IP de origen, nombres y hashes de adjuntos, nombres de reglas de detección, recuentos de mensajes y destinatarios, y clics en enlaces.
Los remitentes, destinatarios, buzones que hicieron clic, IP de origen y de cliente, hosts de URL en las que se hizo clic y hashes de adjuntos se indexan como observables.

​
Requisitos previos

  1. En el panel de Sublime, vaya a Automate → API y cree una clave API. Guarde la clave cuando se muestre; solo se muestra una vez.
  2. Anote el host de API de la URL de su panel, por ejemplo platform.sublime.security o na-east-3.platform.sublime.security.

​
Conectar Sublime Security

  1. En Wirespeed, vaya a Configuración → Integraciones → Añadir integración → Sublime Security.
  2. Introduzca el API Host y la API Key.
  3. Guarde y habilite la integración.

​
Comportamiento de la sincronización

Las detecciones y los resúmenes se consultan en ventanas de tiempo fijas que van dos minutos por detrás de la hora actual. La primera ejecución mira tres días atrás. El estado de paginación solo avanza después de que Wirespeed ingesta correctamente cada página, de modo que una ejecución interrumpida se reanuda donde se detuvo. Los grupos de mensajes ya clasificados como benign o simulation en Sublime no se ingestán como detecciones. Cuando un mensaje nuevo se une a un grupo que ya se había ingestado, se conserva la detección existente y el nuevo resumen se almacena como un registro.

​
No incluido

La integración no recupera cuerpos de mensajes, EML en bruto ni Message Data Models, y no sincroniza buzones como usuarios. Las detecciones no se actualizan tras la ingesta, y cerrar o recategorizar una detección de Wirespeed no revisa, pone en cuarentena ni restaura mensajes en Sublime.