Passer au contenu principal
Cette intégration est actuellement en version bêta. Les résultats d’alerte de Sandfly sont ingérés en tant qu’événements informatifs pendant que nous finalisons des correspondances de catégorisation plus détaillées.
L’intégration Sandfly ingère les résultats de détection Linux de Sandfly et les met en corrélation avec l’inventaire des hôtes dans Wirespeed.

​
Fonctionnalités de cette intégration

  • Ingère les résultats alert de Sandfly en tant que détections Wirespeed
  • Synchronise les hôtes Sandfly en tant qu’actifs de type terminal
  • Met en corrélation les détections avec l’inventaire des terminaux dans Wirespeed pour fournir le contexte de l’hôte

​
Prérequis

Avant la configuration, assurez-vous de disposer des éléments suivants :
  1. Le nom d’hôte ou l’adresse IP de votre serveur Sandfly (accessible depuis Wirespeed)
  2. Un utilisateur d’API Sandfly dédié disposant d’un accès en lecture seule (rôle recommandé : api_result_read)
  3. Le nom d’utilisateur et le mot de passe de cet utilisateur d’API

​
Étape 1 : créer un utilisateur d’API en lecture seule dans Sandfly

Dans Sandfly, créez un utilisateur d’intégration dédié et attribuez-lui uniquement des autorisations de lecture (de préférence api_result_read).
Utilisez un compte de service dédié à Wirespeed plutôt qu’un compte administrateur personnel.

​
Étape 2 : ajouter Sandfly dans Wirespeed

  1. Accédez à Intégrations > Ajouter une intégration
  2. Recherchez Sandfly
  3. Saisissez :
    • Hôte Sandfly (nom d’hôte ou IP, sans protocole ni chemin ; par exemple sandfly.company.com ou 142.250.190.46)
    • Nom d’utilisateur de l’API
    • Mot de passe de l’API
  4. Cliquez sur Intégrer
Lors de la mise en service, Wirespeed vérifie :
  • L’exactitude des identifiants (/v4/auth/login)
  • L’accessibilité de l’API et la validité du jeton (/v4/version)

​
Comportement d’ingestion des détections

  • Seuls les résultats au statut alert sont ingérés
  • Les résultats pass et error sont ignorés
  • Les résultats mis en liste blanche ou remplacés sont exclus
  • L’interrogation par curseur utilise time_since pour éviter les lacunes et les doublons

​
Inventaire des terminaux et enrichissement

  • La synchronisation de l’inventaire des hôtes utilise les résumés d’hôtes Sandfly (/v4/hosts?summary=true)
  • Le contexte de l’hôte est associé aux détections grâce à la corrélation des terminaux de Wirespeed

​
Dépannage

​
Échecs d’authentification ou de validation

Vérifiez que :
  1. Le nom d’hôte ou l’IP est correct et accessible depuis Wirespeed
  2. Wirespeed peut atteindre votre API Sandfly en HTTPS
  3. Le nom d’utilisateur et le mot de passe sont valides
  4. L’utilisateur d’API dispose d’un accès en lecture aux résultats et aux hôtes

​
Aucune détection n’apparaît

Vérifiez que :
  1. Sandfly dispose de résultats alert récents (et pas uniquement pass/error)
  2. Les résultats ne sont pas mis en liste blanche ni remplacés
  3. Le délai de la synchronisation initiale est écoulé : elle peut prendre quelques minutes selon le volume

​
Ressources supplémentaires