Passer au contenu principal
L’intégration Sublime Security se connecte à l’API Sublime Platform à l’aide d’une clé API. Elle collecte uniquement les groupes de messages que Sublime a signalés ou que les utilisateurs ont déclarés. Elle ne récupère jamais l’intégralité du trafic des boîtes aux lettres.

​
Données prises en charge

  • Les détections sont créées à partir des groupes de messages signalés, à raison d’une détection par groupe. Sublime regroupe les messages similaires : une campagne envoyée à de nombreuses boîtes aux lettres devient donc une seule détection. Chaque détection inclut les règles déclenchées avec leur gravité et leurs types d’attaque, l’expéditeur, les destinataires, l’objet, les clics sur les liens, les déclarations des utilisateurs, ainsi que la classification et l’état d’examen du groupe au moment de l’ingestion. La gravité de la détection correspond à la gravité la plus élevée parmi les règles déclenchées.
  • Les résumés de groupes de messages issus du flux SIEM summary de Sublime sont stockés sous forme de journaux pour les groupes signalés et ceux déclarés par les utilisateurs. Ils incluent les expéditeurs, les domaines d’expéditeur, les objets, les IP sources, les noms et empreintes des pièces jointes, les noms des règles de détection, le nombre de messages et de destinataires, ainsi que les clics sur les liens.
Les expéditeurs, les destinataires, les boîtes aux lettres ayant cliqué, les IP sources et clientes, les hôtes des URL cliquées et les empreintes des pièces jointes sont indexés comme observables.

​
Prérequis

  1. Dans le tableau de bord Sublime, accédez à Automate → API et créez une clé API. Enregistrez la clé dès son affichage : elle n’est affichée qu’une seule fois.
  2. Relevez l’hôte API indiqué dans l’URL de votre tableau de bord, par exemple platform.sublime.security ou na-east-3.platform.sublime.security.

​
Connecter Sublime Security

  1. Dans Wirespeed, accédez à Paramètres → Intégrations → Ajouter une intégration → Sublime Security.
  2. Saisissez l’hôte API et la clé API.
  3. Enregistrez et activez l’intégration.

​
Comportement de synchronisation

Les détections et les résumés sont interrogés par fenêtres de temps fixes, avec un décalage de deux minutes par rapport à l’heure actuelle. La première exécution remonte sur trois jours. L’état de pagination n’avance qu’une fois chaque page correctement ingérée par Wirespeed : une exécution interrompue reprend donc là où elle s’était arrêtée. Les groupes de messages déjà classés comme bénins (benign) ou comme relevant d’une simulation (simulation) dans Sublime ne sont pas ingérés comme détections. Lorsqu’un nouveau message rejoint un groupe déjà ingéré, la détection existante est conservée et le nouveau résumé est stocké sous forme de journal.

​
Non inclus

L’intégration ne récupère ni le corps des messages, ni les fichiers EML bruts, ni les Message Data Models, et ne synchronise pas les boîtes aux lettres en tant qu’utilisateurs. Les détections ne sont pas actualisées après l’ingestion, et la clôture ou la recatégorisation d’une détection Wirespeed n’examine, ne met en quarantaine ni ne restaure aucun message dans Sublime.