Passer au contenu principal
Jamf Internet Security (Jamf Security Cloud) transmet en temps réel les événements de menace à Wirespeed grâce à un flux de données Threat Events associé à une cible Generic HTTP. Chaque événement (par exemple, un domaine de phishing bloqué ou une application malveillante détectée sur un appareil) devient une détection dans Wirespeed.

​
Configuration dans Wirespeed

  1. Connectez-vous à Wirespeed et accédez à Intégrations > Ajouter une intégration > Jamf Internet Security
  2. Saisissez un Nom de la source pour identifier ce locataire Jamf Security Cloud
  3. Cliquez sur Intégrer
  4. Sélectionnez Détails du webhook
  5. Copiez l’URL du webhook et le Secret du webhook
L’URL du webhook a la forme suivante :

​
Configuration du flux de données dans Jamf Security Cloud

  1. Connectez-vous à Jamf Security Cloud et accédez à Integrations > Data Streams
  2. Cliquez sur New configuration
  3. Sélectionnez Threat Events comme type de flux de données
  4. Sélectionnez Generic HTTP comme type de cible, puis cliquez sur Continue
  5. Saisissez un nom de configuration (par exemple, Wirespeed)
  6. Renseignez les informations de connexion HTTP à partir de l’URL du webhook Wirespeed :
    • Protocol : https
    • Server Hostname/IP : la partie <API_HOST> de l’URL
    • Port : 443
    • Endpoint : tout ce qui suit l’hôte, à partir de /integration/webhook/..., y compris la chaîne de requête ?teamId=...&integrationId=...
  7. Sous Additional Headers, cliquez sur Add header et saisissez :
    • Name : Authorization
    • Value : Bearer <WEBHOOK_SECRET>
  8. Cliquez sur Test Configuration
  9. Activez Enable configuration et cliquez sur Save
L’en-tête Authorization est obligatoire. Wirespeed rejette les envois qui ne contiennent pas le bon secret du webhook.
Documentation Jamf sur le flux de données Generic HTTP

​
Données ingérées

Wirespeed ingère tous les événements du flux Threat Events, notamment :
  • Hôtes et domaines à risque : destinations de phishing, de logiciels malveillants, de spam et de cryptojacking
  • Applications malveillantes et à risque : logiciels malveillants, adwares, logiciels espions, applications installées hors store (sideloading) et applications provenant de stores tiers
  • Risques liés aux appareils : jailbreak/root, profils iOS à risque, certificats dangereux et systèmes d’exploitation obsolètes
  • Menaces réseau : attaques de l’homme du milieu (man-in-the-middle) et points d’accès à risque
Chaque détection porte comme titre le type d’événement Jamf (par exemple, ACCESS_PHISHING_HOST) et inclut ceux des champs suivants que Jamf envoie pour cet événement :
  • L’appareil concerné et l’adresse e-mail de l’utilisateur
  • L’application, avec ses empreintes (hashes) lorsqu’elles sont disponibles
  • Les adresses IP source et de destination, ainsi que le domaine de destination
  • Un lien vers l’événement dans Jamf Security Cloud
Les champs présents dépendent du type d’événement. Par exemple, les événements de risque lié à l’appareil, comme la détection de jailbreak, ne comportent généralement aucun détail sur une application ou le réseau. L’action Jamf Blocked est enregistrée comme bloquée, et les événements Resolved sont enregistrés comme atténués.
Seul le flux de données Threat Events est ingéré. Les flux Access Events, App Insights, Device Data, Network Traffic et Vulnerability Data ne le sont pas.