Saltar al contenido principal
ThreatLocker se conecta a Wirespeed a través de PortalAPI. Wirespeed sincroniza el inventario de puntos de conexión y consulta Unified Audit en busca de denegaciones aplicadas.
Los usuarios del portal de ThreatLocker son cuentas administrativas, no un directorio de personas en los puntos de conexión. Wirespeed trata los nombres de usuario de los puntos de conexión y de los eventos de auditoría como observables. Conecte su proveedor de identidad por separado para obtener el contexto del directorio.

​
Crear un usuario de API de ThreatLocker

  1. En el ThreatLocker Portal, vaya a Users > API Users.
  2. Cree un usuario de API para Wirespeed con acceso a la organización de destino.
  3. Conceda al usuario de API permiso para ver ordenadores y Unified Audit.
  4. Genere y copie el token de API. ThreatLocker lo muestra solo una vez.
El token se envía tal cual en el encabezado Authorization. No añada el prefijo Bearer al token de PortalAPI.

​
Buscar su instancia y organización

El nombre de host de PortalAPI tiene la forma portalapi.INSTANCE.threatlocker.com. Introduzca solo el valor INSTANCE en Wirespeed, como g, ca1 o eu1. Para cada integración, abra Manage > Organizations, seleccione la organización de destino y copie su GUID de Organization ID. Use el GUID de la organización principal para un cliente directo y el GUID del hijo de destino para un cliente gestionado por MSP. Un token de API de un padre MSP se puede reutilizar en las integraciones hijas; Wirespeed limita cada solicitud al Organization ID que introduzca.
Cree una integración de Wirespeed por cada organización de ThreatLocker. Cada integración lee solo la organización cuyo ID tiene configurado.

​
Conectar ThreatLocker en Wirespeed

  1. En Wirespeed, vaya a Integraciones > Añadir integración > ThreatLocker.
  2. Introduzca la instancia de PortalAPI.
  3. Introduzca el Organization ID de destino.
  4. Pegue el token de API de ThreatLocker en bruto en API Token.
  5. Complete la integración.
Wirespeed valida el token solicitando un ordenador y una búsqueda breve de Unified Audit de la organización configurada. La configuración falla si el usuario de API no puede leer ninguno de los dos.

​
Datos ingestados

Wirespeed sincroniza:
  • Ordenadores de ThreatLocker: ID, nombre de host, sistema operativo, último check-in y usuario conectado cuando PortalAPI los devuelve
  • Denegaciones reales de Unified Audit: acciones que ThreatLocker bloqueó realmente, excluyendo denegaciones solo de monitorización (simuladas). Cada denegación se convierte en una detección bloqueada. El punto de conexión, el usuario, el proceso, la ruta del archivo y el SHA-256, la política coincidente y las IP de origen/destino se incluyen cuando PortalAPI los devuelve para esa denegación.
La primera sincronización lee las 24 horas anteriores. Las sincronizaciones posteriores continúan desde la denegación más reciente ya ingestada. Cada sincronización lee como máximo 10.000 denegaciones; cuando una ventana tiene más, la siguiente sincronización se reanuda desde la última denegación leída.

​
Limitaciones actuales

  • El aislamiento y el bloqueo de puntos de conexión no están disponibles a través de esta integración.
  • ThreatLocker no asigna una gravedad a las denegaciones de Unified Audit, por lo que cada denegación se ingesta con gravedad media.
  • Solo se ingestan denegaciones reales. Las acciones permitidas y las alertas de ThreatLocker Detect no se ingestan.
  • La categorización de detecciones permanece sin escalada hasta que se definan reglas WDC de ThreatLocker.