Passer au contenu principal
Pour intégrer Upwind, créez des identifiants de client API dans la console Upwind, puis fournissez-les à Wirespeed avec l’ID de votre organisation et l’hôte API de votre région.

​
Prérequis

  • Un compte Upwind autorisé à créer des identifiants de client API (un ID client et un secret client)
  • Un client API autorisé à lire les détections et les événements de menace, ainsi qu’à mettre à jour les détections de menaces, sauf si l’intégration est en Lecture seule
  • L’ID de votre organisation Upwind, par exemple org_Xk9mPq7RtYwN2vLs
  • L’hôte API de votre région Upwind :

​
Créer des identifiants API

  1. Connectez-vous à la console Upwind
  2. Accédez à Settings > Access Management et ouvrez l’onglet Credentials
  3. Cliquez sur Generate Credential
  4. Choisissez API comme type d’identifiant, puis conservez le nom généré automatiquement ou saisissez un nom explicite, par exemple Wirespeed
  5. Copiez le Client ID et le Client Secret. Le secret risque de ne s’afficher qu’une seule fois

​
Ajouter l’intégration dans Wirespeed

  1. Dans Wirespeed, accédez à Intégrations > Ajouter une intégration > Upwind
  2. Vérifiez l’Hôte API. Sa valeur par défaut est api.upwind.io (États-Unis) ; modifiez-la si votre organisation se trouve dans la région UE ou Moyen-Orient
  3. Saisissez l’ID de l’organisation, l’ID client et le Secret client
  4. Validez l’intégration
À l’enregistrement, Wirespeed vérifie les identifiants, la région et l’ID de l’organisation. Un jeton émis pour une région est refusé par les autres : l’hôte API doit donc correspondre à la région de votre organisation Upwind.

​
Données ingérées par Wirespeed

Wirespeed interroge les détections selon la date à laquelle Upwind les a vues pour la dernière fois, en commençant par les 24 heures précédentes. Une détection qui se reproduit après son ingestion par Wirespeed n’est pas ingérée de nouveau. Wirespeed interroge les événements de menace selon la date à laquelle Upwind les a vus pour la première fois, en commençant par les 24 heures précédentes. Les événements sont lus environ deux minutes après qu’Upwind les a vus pour la première fois. Si une interrogation échoue en cours de route, la suivante relit la même plage horaire : certains événements peuvent donc être conservés en double.

​
Mises à jour des détections

Lorsqu’une détection est terminée, Wirespeed archive la détection de menace Upwind. Upwind ne propose pas d’API pour les commentaires : les commentaires des analystes restent donc dans Wirespeed. Pour empêcher l’archivage, activez Lecture seule dans les options avancées lorsque vous ajoutez l’intégration. Ce choix ne peut plus être modifié ensuite.

​
Limites actuelles

  • Les actions de confinement et de remédiation ne sont pas disponibles
  • La réouverture d’une détection ne désarchive pas la détection de menace Upwind
  • Les détections ne sont pas escaladées tant que les règles de catégorisation Upwind ne sont pas définies