Saltar al contenido principal
Wiz usa Automation Rules para reenviar Threat Detections a Wirespeed en tiempo real mediante webhook.

​
Requisitos previos

  • Un inquilino de Wiz con permisos de admin o project-admin
  • Conectividad de red desde Wiz a https://api.wirespeed.co

​
Configuración en Wirespeed

  1. Inicie sesión en Wirespeed y vaya a Integraciones > Añadir integración > Wiz
  2. Lea esta documentación y confirme que ha completado los pasos de configuración requeridos
  3. Haga clic en Integrar
  4. Seleccione Detalles del webhook
  5. Copie tanto la URL del webhook como el secreto del webhook: necesitará ambos para la configuración de Wiz

​
Configuración en Wiz

Implemente primero la integración de Wirespeed y, a continuación, cree la regla de automatización que la usa.

​
1. Implementar la integración de Wirespeed

  1. Inicie sesión en su inquilino de Wiz
  2. Vaya a Settings > Deployments
  3. Haga clic en Add Deployment
  4. Busque Wirespeed y seleccione la integración de Wirespeed
  5. Complete el formulario de integración:
    • Name — asígnele un nombre descriptivo (p. ej. “Wirespeed Integration”)
    • Scope — elija All Projects salvo que necesite acceso limitado a un proyecto
    • URL — pegue la URL del webhook de Wirespeed
    • Token — pegue el secreto del webhook de Wirespeed; Wiz lo envía como Authorization: Bearer <token>
  6. Haga clic en Add Integration

​
2. Crear la Automation Rule

  1. Vaya a Automation > Automation Rules
  2. Haga clic en Add Automation Rule
  3. Asigne a la regla un nombre descriptivo (p. ej. “Forward threat detections to Wirespeed”)
  4. Configure WHEN se produce el siguiente desencadenante, según lo que exponga su inquilino de Wiz:
    • Si Detection está disponible, seleccione Detection > IS > Created
    • Si Detection no está disponible (depende de la licencia o de la interfaz), seleccione otro desencadenante disponible, como Risk Issue o Cloud Event, y añada filtros para que la regla solo se active en hallazgos de Threat Detection
  5. Configure IF para que coincidan todas las condiciones siguientes:
    • Wiz exige al menos un filtro IF en las reglas de Detection. Haga clic en Add Filter, seleccione Severity, elija equals one of y seleccione todos los niveles de gravedad (Critical, High, Medium, Low, Info). Seleccionar todas las gravedades reenvía todas las detecciones sin excluir ninguna por gravedad.
  6. En THEN, añada la acción Wirespeed de la integración que implementó anteriormente
  7. Guarde y active la Automation Rule
Wiz aplica esta Automation Rule solo a Detections cuya Threat Detection Rule esté configurada para generar Threats. Las Detections que no generan Threats no se reenvían.
Wirespeed autentica los webhooks entrantes con un token Bearer. Si el Token no está configurado en la integración de Wirespeed, todas las entregas de webhook se rechazarán con 401.

​
Qué se ingesta

Wirespeed recibe y procesa Threat Detections de Wiz: eventos de seguridad en tiempo de ejecución desencadenados por las Threat Detection Rules de Wiz. Cada detección se normaliza automáticamente a OCSF y se enriquece con:
  • Gravedad — Critical, High, Medium, Low o Informational
  • MITRE ATT&CK — Tácticas y técnicas asignadas desde la detección
  • Resources — Recursos cloud afectados, incluida la cuenta cloud, la región y el tipo de recurso
  • Triggering Events — Los eventos cloud subyacentes (p. ej. llamadas a la API) que dispararon la detección, incluida la IP del actor, la reputación de la IP y el árbol de procesos cuando está disponible
Wirespeed procesa solo Threat Detections de Wiz. Los Issues de Wiz (configuraciones incorrectas y vulnerabilidades de Controls) no se ingestan actualmente.

​
Solución de problemas

Verifique que su Automation Rule está habilitada, incluye al menos un filtro IF (por ejemplo, Severity equals one of con todos los niveles seleccionados) y está limitada a Threat Detections únicamente, ya sea mediante un desencadenante Detection o mediante otro desencadenante (p. ej. Risk Issue, Cloud Event) con filtros que la limiten a hallazgos de Threat Detection. Confirme que la Threat Detection Rule de la Detection está configurada para generar Threats. Revise el historial de ejecución de la regla en Wiz para ver errores o entregas fallidas.
La regla está reenviando Cloud Findings en lugar de Threat Detections. Elimine o desactive cualquier regla de automatización cuyo desencadenante sea Cloud Finding / vulnerability / misconfiguration, y confirme que la regla activa está limitada a Threat Detection como se describe anteriormente.
Asegúrese de que el Token de la integración de Wirespeed coincide con el secreto del webhook mostrado en Wirespeed en Detalles del webhook. Volver a copiar el secreto y guardar de nuevo la integración es la solución más rápida.
Asegúrese de que su inquilino de Wiz puede alcanzar https://api.wirespeed.co en el puerto 443. Si usa reglas de cortafuegos basadas en IP, añada a la lista de permitidos las IP de origen que devuelve la consulta GraphQL dataCenterInfrastructureDetails anterior.