Integrationen für Cloud, Ticketing, SIEM und Chat

Häufige Fragen

Wie funktioniert die SIEM-Integration mit Microsoft Sentinel?

blacklens.io ist als Lösung im Microsoft Sentinel Content Hub verfügbar. Die Lösung enthält einen Datenkonnektor, eine Analyseregel und eine ARM-Vorlage für die Bereitstellung. Nach der Installation werden Alerts und Findings in Ihren Log-Analytics-Workspace geschrieben, und die Analyseregel erzeugt daraus Sentinel-Incidents. Ihr SOC korreliert sie mit anderen Datenquellen und arbeitet sie im gewohnten Prozess ab.

Welche Cloud-Anbieter werden unterstützt?

AWS, Microsoft Azure, Microsoft 365, Google Cloud, Cloudflare und Hetzner Cloud. Die Konnektoren inventarisieren Ressourcen, prüfen Konfigurationen (standardmäßig alle sieben Tage, auf Wunsch sofort), markieren öffentlich erreichbare Ressourcen und schlagen neue Domains und IP-Adressen für den externen Scan vor. AWS wird über eine Rolle mit Leserechten angebunden, Microsoft 365 liefert Identitäten ohne MFA, Gastkonten und privilegierte Rollen, Cloudflare liefert Zonen, DNS-Einträge und den DNSSEC-Status.

Kann ich steuern, welche Alerts wohin gehen?

Ja. Benachrichtigungsregeln filtern nach Schweregrad und Alert-Typ und ordnen Empfänger und Integrationen zu. So gehen etwa kritische Threats an Microsoft Sentinel und per Push an das SOC, mittlere Schwachstellen als Jira-Ticket an das Plattformteam und Darknet-Treffer per E-Mail an den Helpdesk.

Wie funktionieren die Ticketing- und Chat-Integrationen?

Ticketing- und Chat-Integrationen werden über Ihre Benachrichtigungsregeln durch Alerts ausgelöst. Jira legt Tickets mit Schweregrad, Asset, Beschreibung und Link zurück in die Plattform an, ServiceNow erstellt Incidents oder Aufgaben, GitHub und GitLab erzeugen Issues mit Behebungshinweis. Microsoft Teams und Slack erhalten Nachrichten mit Schweregrad, betroffenem Asset und Link zum Finding. Die Mobile App für iOS und Android wird per QR-Code gekoppelt und empfängt Push-Nachrichten für alle Alert-Typen.

Wie sicher ist die REST-API?

Die API verwendet API-Schlüssel, die pro Workspace erzeugt und jederzeit widerrufen werden können, in Kombination mit einer Mandantenkennung. Berechtigungen folgen dem Rollenmodell der Plattform mit 50 Berechtigungen und 8 Standardrollen. Die Dokumentation steht als Swagger UI zur Verfügung. Die 250+ Endpunkte decken Assets, Findings, Alerts, Scope, Berichte und Verwaltung ab, damit Sie blacklens.io in eigene Portale, Dashboards oder Automatisierungen einbinden.

Unterstützt blacklens.io Single Sign-on?

Ja. Die Anmeldung an blacklens.io ist per Single Sign-on über Microsoft Entra ID oder die Google-Konten Ihres Unternehmens möglich (OIDC), kombinierbar mit MFA. Rollen und Berechtigungen verwalten Sie in blacklens.io mit 8 Standardrollen und eigenen Rollen. Entra ID liefert zusätzlich Identitätsdaten für das IAM-Inventar, und der Sentry Agent analysiert Ihr lokales Active Directory über SMB mit einem Least-Privilege-Konto.

Was passiert, wenn eine Integration ausfällt?

Die Plattform prüft den Online-Status jeder Integration. Fällt eine Verbindung aus, erscheint sie auf der Gesundheitskarte des Workspaces und erzeugt einen Health-Alert. So bemerken Sie einen abgelaufenen Token oder eine geänderte Berechtigung, bevor Alerts verloren gehen. Vor der Aktivierung testet eine Verbindungsprüfung Zugangsdaten und Berechtigungen, und pausierte Integrationen behalten ihre Konfiguration.

Gibt es eine Integration, die fehlt?

Über den generischen Webhook senden Sie ausgewählte Alerts als JSON an praktisch jedes System, etwa eine SOAR-Plattform, eigene Skripte oder eine NAC-Lösung, die kompromittierte Geräte automatisch isoliert. Über die REST-API greifen Sie auf die Daten der Plattform zu. Wenn Sie eine native Integration benötigen, sprechen Sie mit uns; die Liste wächst laufend.