Passer au contenu principal
WatchGuard EDR est actuellement en bêta
WatchGuard EDR se connecte à Wirespeed via l’API publique de WatchGuard Cloud. Wirespeed interroge les événements de sécurité d’Endpoint Security (logiciels malveillants, exploits, indicateurs d’attaque, etc.), synchronise l’inventaire des appareils et peut isoler des appareils du réseau. Cette intégration couvre les produits WatchGuard Endpoint Security gérés dans WatchGuard Cloud, tels que WatchGuard EDR, EPDR et Advanced EPDR. Pour les journaux du pare-feu Firebox, utilisez l’intégration WatchGuard Firebox.

​
Prérequis

  • Un rôle d’opérateur WatchGuard Cloud permettant de consulter et d’activer l’accès à l’API sur la page Managed Access
  • Une licence WatchGuard Endpoint Security sur le compte dont Wirespeed doit superviser les appareils

​
Activer l’accès à l’API dans WatchGuard Cloud

WatchGuard décrit ces étapes dans ses guides Authentication API et Endpoint Security Management API.
  1. Connectez-vous à WatchGuard Cloud.
  2. Accédez à Administration > Managed Access.
  3. Activez l’accès à l’API s’il ne l’est pas déjà.
  4. Copiez l’API Key.
  5. Copiez l’Access ID en lecture-écriture, puis définissez ou copiez son Password.
  6. Notez la région indiquée dans l’URL de l’API affichée sur la page, par exemple api.usa.cloud.watchguard.com. La région est usa, deu ou jpn.
Wirespeed a besoin d’identifiants en lecture-écriture pour isoler les appareils. Pour utiliser des identifiants en lecture seule, activez Lecture seule (déconseillé) dans les options avancées lors de l’ajout de l’intégration. Wirespeed ingère alors les événements et les appareils, mais ne peut pas isoler les terminaux.

​
Trouver l’ID de compte

L’ID de compte identifie le compte WatchGuard Cloud dont les appareils appartiennent à l’équipe Wirespeed, par exemple WGC-1-123abc456 ou ACC-1234567. Dans WatchGuard Cloud, ouvrez Administration > My Account et copiez l’Account ID.

​
Fournisseurs de services

Un fournisseur de services WatchGuard Cloud peut connecter chaque compte géré avec ses propres identifiants d’API :
  1. Utilisez l’Access ID, le Password et l’API Key du compte du fournisseur de services.
  2. Saisissez l’ID du compte géré comme ID de compte, et non celui du fournisseur de services.
  3. Créez une intégration Wirespeed par compte géré.
Wirespeed demande un jeton limité au compte géré via l’API Authorization de WatchGuard Cloud. La configuration échoue si le fournisseur de services ne gère pas ce compte.

​
Ajouter l’intégration dans Wirespeed

  1. Dans Wirespeed, accédez à Intégrations > Ajouter une intégration > WatchGuard EDR.
  2. Saisissez la Région : usa, deu ou jpn.
  3. Saisissez l’Access ID, le Mot de passe et la Clé API.
  4. Saisissez l’ID de compte.
  5. Validez l’intégration.
Lors de la connexion, Wirespeed demande un jeton d’accès, puis lit les licences du compte, un appareil et les événements de sécurité de type logiciel malveillant. La configuration échoue si l’une de ces requêtes est refusée.

​
Actions de réponse

Wirespeed peut isoler les appareils gérés par WatchGuard et lever leur isolement. Les appareils isolés affichent un message indiquant que votre équipe de sécurité a isolé l’appareil du réseau.

​
Limites actuelles

  • La catégorisation des détections reste sans escalade tant que les règles WDC de WatchGuard EDR ne sont pas définies.