Passer au contenu principal
Wiz utilise des Automation Rules pour transférer les Threat Detections vers Wirespeed en temps réel via un webhook.

​
Prérequis

  • Un locataire Wiz avec des autorisations d’administrateur ou d’administrateur de projet
  • Une connectivité réseau de Wiz vers https://api.wirespeed.co

​
Configuration dans Wirespeed

  1. Connectez-vous à Wirespeed et accédez à Intégrations > Ajouter une intégration > Wiz
  2. Lisez cette documentation et confirmez que vous avez effectué les étapes de configuration requises
  3. Cliquez sur Intégrer
  4. Sélectionnez Détails du webhook
  5. Copiez l’URL du webhook et le Secret du webhook : vous aurez besoin des deux pour la configuration de Wiz

​
Configuration dans Wiz

Déployez d’abord l’intégration Wirespeed, puis créez la règle d’automatisation qui l’utilise.

​
1. Déployer l’intégration Wirespeed

  1. Connectez-vous à votre locataire Wiz
  2. Accédez à Settings > Deployments
  3. Cliquez sur Add Deployment
  4. Recherchez Wirespeed et sélectionnez l’intégration Wirespeed
  5. Remplissez le formulaire d’intégration :
    • Name : donnez-lui un nom descriptif (par exemple « Wirespeed Integration »)
    • Scope : choisissez All Projects, sauf si vous avez besoin d’un accès limité à certains projets
    • URL : collez l’URL du webhook de Wirespeed
    • Token : collez le Secret du webhook de Wirespeed ; Wiz l’envoie sous la forme Authorization: Bearer <token>
  6. Cliquez sur Add Integration

​
2. Créer l’Automation Rule

  1. Accédez à Automation > Automation Rules
  2. Cliquez sur Add Automation Rule
  3. Donnez à la règle un nom descriptif (par exemple « Forward threat detections to Wirespeed »)
  4. Configurez WHEN avec le déclencheur suivant, selon ce que votre locataire Wiz propose :
    • Si Detection est disponible, sélectionnez Detection > IS > Created
    • Si Detection n’est pas disponible (selon la licence ou l’interface), sélectionnez un autre déclencheur disponible, comme Risk Issue ou Cloud Event, puis ajoutez des filtres afin que la règle ne se déclenche que sur les résultats de type Threat Detection
  5. Configurez IF pour que toutes les conditions suivantes correspondent :
    • Wiz exige au moins un filtre IF sur les règles Detection. Cliquez sur Add Filter, sélectionnez Severity, choisissez equals one of et sélectionnez tous les niveaux de gravité (Critical, High, Medium, Low, Info). Sélectionner tous les niveaux de gravité transfère toutes les détections sans en exclure aucune selon la gravité.
  6. Sous THEN, ajoutez l’action Wirespeed de l’intégration déployée précédemment
  7. Enregistrez et activez l’Automation Rule
Wiz n’applique cette Automation Rule qu’aux Detections dont la Threat Detection Rule est configurée pour générer des Threats. Les Detections qui ne génèrent pas de Threats ne sont pas transférées.
Wirespeed authentifie les webhooks entrants à l’aide d’un jeton Bearer. Si le Token n’est pas configuré sur l’intégration Wirespeed, toutes les livraisons de webhook seront rejetées avec une erreur 401.

​
Données ingérées

Wirespeed reçoit et traite les Threat Detections de Wiz, c’est-à-dire les événements de sécurité à l’exécution déclenchés par les Threat Detection Rules de Wiz. Chaque détection est automatiquement normalisée en OCSF et enrichie avec :
  • Gravité : Critical, High, Medium, Low ou Informational
  • MITRE ATT&CK : tactiques et techniques associées à la détection
  • Ressources : ressources cloud concernées, y compris le compte cloud, la région et le type de ressource
  • Événements déclencheurs : événements cloud sous-jacents (par exemple des appels d’API) à l’origine de la détection, y compris l’IP de l’acteur, la réputation de l’IP et l’arborescence des processus lorsqu’elles sont disponibles
Wirespeed traite uniquement les Threat Detections de Wiz. Les Wiz Issues (erreurs de configuration et vulnérabilités issues des Controls) ne sont pas ingérées actuellement.

​
Dépannage

Vérifiez que votre Automation Rule est activée, qu’elle comprend au moins un filtre IF (par exemple, Severity equals one of avec tous les niveaux sélectionnés) et qu’elle est limitée aux Threat Detections uniquement, soit via un déclencheur Detection, soit via un autre déclencheur (par exemple Risk Issue, Cloud Event) avec des filtres qui la limitent aux résultats Threat Detection. Vérifiez que la Threat Detection Rule de la Detection est configurée pour générer des Threats. Consultez l’historique d’exécution de la règle dans Wiz pour repérer des erreurs ou des échecs de livraison.
La règle transfère des Cloud Findings au lieu de Threat Detections. Supprimez ou désactivez toute règle d’automatisation dont le déclencheur est Cloud Finding / vulnérabilité / erreur de configuration, et vérifiez que la règle active est limitée à Threat Detection comme décrit ci-dessus.
Assurez-vous que le Token de l’intégration Wirespeed correspond au Secret du webhook affiché dans Wirespeed sous Détails du webhook. Copier à nouveau le secret et réenregistrer l’intégration est la solution la plus rapide.
Assurez-vous que votre locataire Wiz peut joindre https://api.wirespeed.co sur le port 443. Si vous utilisez des règles de pare-feu basées sur les IP, ajoutez à la liste d’autorisation les IP sources renvoyées par la requête GraphQL dataCenterInfrastructureDetails mentionnée ci-dessus.