Passer au contenu principal
ThreatLocker se connecte à Wirespeed via la PortalAPI. Wirespeed synchronise l’inventaire des terminaux et interroge le Unified Audit pour récupérer les refus appliqués.
Les utilisateurs du portail ThreatLocker sont des comptes d’administration, et non un annuaire des personnes qui utilisent les terminaux. Wirespeed traite les noms d’utilisateur issus des terminaux et des événements d’audit comme des observables. Connectez votre fournisseur d’identité séparément pour obtenir le contexte de l’annuaire.

​
Créer un utilisateur API ThreatLocker

  1. Dans le portail ThreatLocker, accédez à Users > API Users.
  2. Créez un utilisateur API pour Wirespeed ayant accès à l’organisation cible.
  3. Accordez à l’utilisateur API l’autorisation de consulter les ordinateurs et le Unified Audit.
  4. Générez et copiez le jeton API. ThreatLocker ne l’affiche qu’une seule fois.
Le jeton est envoyé tel quel dans l’en-tête Authorization. N’ajoutez pas de préfixe Bearer au jeton PortalAPI.

​
Trouver votre instance et votre organisation

Le nom d’hôte de votre PortalAPI a la forme portalapi.INSTANCE.threatlocker.com. Saisissez uniquement la valeur INSTANCE dans Wirespeed, par exemple g, ca1 ou eu1. Pour chaque intégration, ouvrez Manage > Organizations, sélectionnez l’organisation cible et copiez son GUID Organization ID. Utilisez le GUID de l’organisation principale pour un client direct, et celui de l’organisation enfant cible pour un client géré par un MSP. Un jeton API de l’organisation parente d’un MSP peut être réutilisé pour les intégrations des organisations enfants : Wirespeed limite chaque requête à l’ID de l’organisation que vous saisissez.
Créez une intégration Wirespeed par organisation ThreatLocker. Chaque intégration lit uniquement l’organisation dont l’ID est configuré.

​
Connecter ThreatLocker dans Wirespeed

  1. Dans Wirespeed, accédez à Intégrations > Ajouter une intégration > ThreatLocker.
  2. Saisissez l’instance PortalAPI.
  3. Saisissez l’ID de l’organisation cible.
  4. Collez le jeton API ThreatLocker brut dans Jeton API.
  5. Terminez l’ajout de l’intégration.
Wirespeed valide le jeton en demandant un ordinateur et une courte recherche dans le Unified Audit de l’organisation configurée. La configuration échoue si l’utilisateur API ne peut pas lire l’un ou l’autre.

​
Données ingérées

Wirespeed synchronise :
  • les ordinateurs ThreatLocker : ID, nom d’hôte, système d’exploitation, dernier contact et utilisateur connecté lorsque la PortalAPI le renvoie ;
  • les refus réels du Unified Audit : les actions que ThreatLocker a effectivement bloquées, à l’exclusion des refus simulés (en mode de supervision uniquement). Chaque refus devient une détection bloquée. Le terminal, l’utilisateur, le processus, le chemin et le SHA-256 du fichier, la stratégie correspondante et les IP source et de destination sont inclus lorsque la PortalAPI les renvoie pour ce refus.
La première synchronisation lit les 24 heures précédentes. Les synchronisations suivantes reprennent à partir du refus le plus récent déjà ingéré. Chaque synchronisation lit au maximum 10 000 refus ; lorsqu’une période en contient davantage, la synchronisation suivante reprend à partir du dernier refus lu.

​
Limites actuelles

  • L’isolement et le verrouillage des terminaux ne sont pas disponibles avec cette intégration.
  • ThreatLocker n’attribue pas de gravité aux refus du Unified Audit : chaque refus est donc ingéré avec une gravité moyenne.
  • Seuls les refus réels sont ingérés. Les actions autorisées et les alertes ThreatLocker Detect ne le sont pas.
  • La catégorisation des détections ne déclenche pas d’escalade tant que les règles WDC de ThreatLocker ne sont pas définies.