HarfangLab
Configurez le connecteur HarfangLab pour accéder à l'API et récupérer les informations
Objectif
Le connecteur HarfangLab permet de récupérer les données de détection et réponse endpoint (EDR) depuis votre instance HarfangLab dans OverView.
Informations à fournir dans OverView
| Champ | Description |
|---|---|
| Jeton API | Jeton API généré depuis la console HarfangLab |
| URL du serveur | URL de votre instance HarfangLab, port inclus (généralement :8443) — ex. https://votre-instance.hurukai.io:8443 |
| Nom de domaine | Filtre par nom de domaine |
Paramètres
Ces paramètres sont facultatifs. Conservez leur valeur par défaut sauf besoin particulier.
| Paramètre | Description | Défaut |
|---|---|---|
| Jours de récupération des alertes | Nombre de jours pour la récupération des alertes | 30 |
| Collecter les processus | Collecter les données de processus (hunting). Nécessite l'option de licence Threat Hunting | Activé |
| Collecter la découverte réseau | Collecter les données de découverte réseau. Nécessite l'option de licence Threat Hunting | Activé |
Procédure
Pour générer un token API, référez-vous à votre console d'administration HarfangLab. La gestion des tokens se trouve généralement sous Administration > Users dans l'interface EDR Manager.
La documentation API de HarfangLab n'est pas publiquement disponible. Veuillez consulter la documentation fournie par HarfangLab avec votre licence, ou contacter le support HarfangLab pour la procédure exacte de génération de tokens API pour votre version.
Le Tenant URL doit pointer vers la racine de votre instance et inclure le port (généralement :8443). Si vous copiez l'URL depuis votre navigateur, elle peut contenir un suffixe tel que /auth/login?next=... : retirez-le pour ne conserver que https://votre-instance.hurukai.io:8443. Sans cela, aucune donnée ne remonte.
Lorsque vous copiez la clé API depuis l'interface HarfangLab, le presse-papier contient un préfixe Token avant la clé (par exemple Token VOTRE_CLE_API). Comme le champ est masqué, ce préfixe passe facilement inaperçu. Avant de coller la valeur dans le champ API Token d'OverView, supprimez Token afin de ne conserver que la clé API.
Configurer le Connecteur dans OverView
- Dans OverView, aller à Data Sources Settings > Sources.
- Sélectionner HarfangLab et cliquer sur Configure.
- Entrer le Tenant URL et le API Token.
- Cliquer sur Save Configuration.
Permissions requises
Pour que le connecteur récupère l'ensemble des données, le rôle associé à la clé API doit disposer du droit View sur les catégories suivantes de la console HarfangLab. Si une permission manque, les données correspondantes ne remontent pas.
| Données récupérées | Catégorie (console HarfangLab) | Droit |
|---|---|---|
| Agents / inventaire endpoint | Endpoint → Endpoint data and configuration | View |
| Utilisateurs locaux (Windows) | Endpoint → Endpoint data and configuration | View |
| Alertes | Detection → Alert & threats | View |
| Alertes agrégées | Detection → Alert & threats (+ Security events) | View |
| Processus | Data exploration → Telemetry data | View |
| Découverte réseau | Data exploration → Telemetry data | View + activation de la fonctionnalité (voir ci-dessous) |
La récupération des données réseau (Network Discovery) nécessite, en plus du droit View sur Telemetry data, l'activation de la fonctionnalité correspondante dans la console HarfangLab, sous Data exploration. Sans cette activation, les données réseau ne sont pas collectées.
Bonnes Pratiques de Sécurité
- Utiliser un compte de service dédié pour l'accès à l'API.
- Renouveler régulièrement les tokens API.
- Restreindre le scope du token API aux permissions en lecture seule.
Alternative : import par fichiers via DropPoint
L'accès API décrit plus haut est la méthode recommandée pour ce connecteur. Lorsqu'il n'est pas disponible (réseau cloisonné, version ou licence sans API, export déjà produit par ailleurs), OverView accepte des exports de fichiers, à déposer dans le bucket dédié à HarfangLab.
Bucket : s3://harfanglab/
Exemple : s3://harfanglab/export.csv
La procédure est décrite dans le guide OverView DropPoint : génération des credentials, configuration du client, puis envoi des fichiers depuis l'interface web OverView, l'AWS CLI ou un SDK. Les exemples y sont préremplis avec ce bucket lorsque vous suivez ce lien.