Présentation
Wirespeed se connecte à CyberArk Identity Security Platform Shared Services (ISPSS) pour :- Synchroniser les utilisateurs depuis CyberArk Privilege Cloud (comptes du coffre) et depuis CyberArk Identity (utilisateurs de l’annuaire fédéré).
- Ingérer les événements d’audit des services PAM (Privilege Cloud), IDP (Identity) et ADM (Admin) sous forme de journaux ; Wirespeed y exécute ses détections gérées (échecs MFA, échecs de connexion au coffre, accès non autorisés aux safes et aux mots de passe).
- Appliquer des remédiations aux utilisateurs via Privilege Cloud (désactivation / activation / fin des sessions PSM) et Identity Administration (verrouillage / déverrouillage / fin des sessions SSO), avec un routage automatique selon la population d’origine de l’utilisateur.
Prérequis
Vous aurez besoin des éléments suivants :- Un locataire CyberArk Identity Security Platform Shared Services (ISPSS) sur lequel les services Privilege Cloud, Identity et/ou Admin sont activés.
- L’autorisation de créer des applications web OAuth2 et des utilisateurs de service dans Identity Administration.
- L’autorisation de créer une entrée d’intégration SIEM dans l’espace d’administration de Privilege Cloud.
Les locataires CyberArk n’autorisent que deux intégrations SIEM à la fois. Wirespeed en utilise une.
Configuration
La configuration nécessite quatre éléments dans votre locataire CyberArk :- Un utilisateur de service pour l’authentification.
- Deux attributions de rôle pour cet utilisateur de service (une pour Privilege Cloud, une pour Identity Administration).
- Une application web OAuth2 Server (utilisée uniquement pour le flux d’audit/SIEM).
- Une entrée d’intégration SIEM pour générer une clé API.
Étape 1 — Créer l’utilisateur de service
- Connectez-vous à Identity Administration en tant qu’administrateur.
- Accédez à Core Services → Users et cliquez sur Add User.
- Renseignez les informations de l’utilisateur. Choisissez un nom d’utilisateur facile à retenir, par exemple
wirespeed-svc@<your-tenant>. Le suffixe@<your-tenant>est ajouté automatiquement. - Sous Status, cochez :
- Is Service User
- Is OAuth confidential client
- Password never expires
- Cliquez sur Create User. Notez le nom d’utilisateur et le mot de passe : vous en aurez besoin plus tard.
Étape 2 — Attribuer des rôles à l’utilisateur de service
L’utilisateur de service a besoin de deux attributions de rôle : l’une pour gérer les opérations sur l’annuaire Identity, l’autre pour accéder aux API Privilege Cloud.2a. Rôle Identity Administration
- Accédez à Core Services → Roles et cliquez sur Add Role.
- Donnez-lui un nom (par exemple
Wirespeed Integration). - Dans l’onglet Administrative Rights, ajoutez :
- User Management — requis pour synchroniser et verrouiller les utilisateurs de l’annuaire Identity.
- Report Management — requis pour la requête Redrock qui récupère les utilisateurs de l’annuaire fédéré (
DsUsers).
- Dans l’onglet Members, ajoutez l’utilisateur de service.
- Cliquez sur Save.
2b. Rôle d’administrateur Privilege Cloud
- Dans Identity Administration, recherchez le rôle intégré Privilege Cloud Administrators (ou tout rôle accordant des droits équivalents — consultez la documentation des rôles Privilege Cloud de CyberArk).
- Dans l’onglet Members, ajoutez l’utilisateur de service.
- Cliquez sur Save.
Étape 3 — Créer l’application web OAuth2 d’audit (modèle Server)
Cette application sert uniquement à la SIEM Audit API. Tous les autres appels d’API de Wirespeed utilisent un jeton de plateforme générique, qui ne nécessite pas d’application web personnalisée.- Accédez à Apps & Widgets → Web Apps et cliquez sur Add Web Apps.
- Dans l’onglet Custom, recherchez OAuth2 Server, cliquez sur Add et confirmez.
- Dans l’onglet Settings, définissez :
- Application ID :
WirespeedAudit(ou tout identifiant compatible avec une URL — notez-le pour plus tard). - Application Name :
Wirespeed Audit.
- Application ID :
- Dans l’onglet General Usage, définissez Client ID Type sur Confidential.
- Dans l’onglet Tokens, définissez :
- Token Type : JwtRS256.
- Auth Methods : activez Client Creds.
- Token Lifetime : au moins 15 minutes.
- Dans l’onglet Scope, cliquez sur Add et créez un scope :
- Name :
isp.audit.events:read
- Name :
- Dans l’onglet Advanced, collez ce script, puis cliquez sur Save :
- Dans l’onglet Permissions, ajoutez l’utilisateur de service de l’étape 1 avec les autorisations Run, View, Grant et Automatically Deploy.
- Cliquez sur Save en haut de la page.
Étape 4 — Créer l’entrée d’intégration SIEM
- Basculez vers l’espace Administration (le portail d’administration au niveau du locataire).
- Accédez à My environment → Integrations → Export to SIEM.
- Cliquez sur Create → Create SIEM integration.
- Donnez-lui un nom (par exemple
Wirespeed) et cliquez sur Apply. - Notez la clé API générée : elle n’est affichée qu’une seule fois. La page affiche également une API base URL ; en général, vous n’avez pas besoin de la copier (Wirespeed la déduit du jeton de plateforme), mais gardez-la à portée de main au cas où la déduction automatique ne fonctionnerait pas pour votre locataire.
Étape 5 — Connecter Wirespeed
- Dans Wirespeed, accédez à Intégrations → Ajouter une intégration → Idira (anciennement CyberArk).
- Prenez connaissance de l’avertissement relatif à la bêta.
-
Fournissez :
- Cliquez sur Ajouter. Wirespeed génère un jeton de plateforme, en déduit votre sous-domaine Privilege Cloud et lance la première synchronisation de l’audit et des utilisateurs.
Le sous-domaine Privilege Cloud est déduit automatiquement du jeton de plateforme lors de la première connexion ; il sert à construire à la fois l’URL PasswordVault (
<sub>.privilegecloud.cyberark.cloud) et l’URL d’audit (<sub>.audit.cyberark.cloud). Si votre locataire utilise une URL d’audit non standard (par exemple des hôtes partagés par région comme eu.audit.cyberark.cloud), définissez manuellement la valeur de remplacement URL de base de l’API d’audit dans les options avancées de l’intégration.Ce qui est ingéré
Utilisateurs (tous les jours à 14:00 UTC, et immédiatement lors de la connexion)
Wirespeed synchronise les deux populations d’utilisateurs CyberArk, car il s’agit d’ensembles distincts avec des chemins de remédiation différents :
Le
directoryId de chaque utilisateur est préfixé par sa source (pcloud:17, ds:a41ca4c8-…) afin que les actions de remédiation sachent quelle API appeler. Une même personne peut apparaître une fois sous chaque préfixe si elle existe dans les deux populations.
Les utilisateurs de composants (CPM, PSM, ENE, etc.) sont exclus de la synchronisation PCloud : seuls les comptes humains réels et les comptes de service sont remontés.
Journaux d’audit (toutes les minutes)
Wirespeed interroge la SIEM Audit API pour récupérer les événements de trois codes d’application :- PAM — Privilege Cloud (authentification au coffre, accès aux identifiants, sessions à privilèges, rotation des identifiants, gestion des safes).
- IDP — Identity (authentification, MFA, déconnexion, SAML, contrôles de risque).
- ADM — Admin (contrôle d’accès, gestion des utilisateurs, modifications de configuration).
createQuery, depuis un repère de début enregistré jusqu’à maintenant, et n’utilise cursorRef que pour paginer au sein de cette fenêtre.
Détections gérées
CyberArk ne génère pas de détections propres. Wirespeed évalue les événements d’audit collectés pour :
Les détections du coffre ignorent les comptes de composants CyberArk (connecteur, PVWA, CPM, PSM et autres utilisateurs de service similaires). Chaque détection peut être désactivée par équipe dans Paramètres > Règles de détection > Gérées par Wirespeed.
Remédiation
Tant que l’intégration est en bêta, toutes les actions de remédiation renvoient une erreur indiquant que la remédiation n’est pas encore activée. Une fois l’intégration passée en GA, les actions suivantes deviennent disponibles :Limites et mises en garde
- Rétention du flux d’audit : 7 jours. Si Wirespeed ne peut pas interroger le flux pendant une durée supérieure (par exemple en cas de panne prolongée), les événements manquants sont irrécupérables.
- Limite de débit du flux d’audit : 1 appel d’API par minute et par intégration. Wirespeed interroge le flux via un cron d’une minute et respecte cette limite.
- Liste des utilisateurs PasswordVault : limitée à 6 000 utilisateurs par réponse. Pour les locataires dont le coffre est plus volumineux, la liste est actuellement tronquée.
- Intégrations SIEM par locataire : 2. Wirespeed en utilise une.
- Identifiants de l’utilisateur de service : effectuez la rotation du mot de passe de l’utilisateur de service dans Identity Administration, puis mettez-le à jour dans les paramètres de l’intégration Wirespeed.
- La fin des sessions PSM en direct nécessite
AllowPSMNotifications=Yesdans PVWA et la présence de l’utilisateur de service dans le groupe de configuration du coffre Terminating Live Sessions Users and Groups. Sans cela, seule la fin des sessions côté SSO fonctionne (ce qui reste efficace pour bloquer de nouvelles sessions à privilèges).