Recopila registros de IOC de Crowdstrike

Versión del analizador: 3.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo recopilar registros de IOC de CrowdStrike con CrowdStrike Chronicle Intel Bridge, un contenedor de Docker que reenvía indicadores de inteligencia contra amenazas de CrowdStrike Falcon Intelligence a Google Security Operations.

CrowdStrike Falcon Intelligence proporciona indicadores de inteligencia contra amenazas, incluidos dominios, direcciones IP, hashes de archivos, URLs, direcciones de correo electrónico, rutas de acceso de archivos, nombres de archivos y nombres de mutex. Chronicle Intel Bridge sondea la API de CrowdStrike Intel y reenvía estos indicadores a Google Security Operations para la detección y el análisis de amenazas.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso privilegiado a la consola de CrowdStrike Falcon con permisos para crear clientes de API
• Suscripción a CrowdStrike Falcon Intelligence
• Docker instalado en un sistema que se pueda ejecutar de forma continua para sondear CrowdStrike y reenviar indicadores
• Todos los sistemas de la arquitectura de implementación están configurados en la zona horaria UTC.

Obtén credenciales de Google SecOps

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Descarga el archivo de la cuenta de servicio de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
3. Haz clic en Descargar archivo de autenticación de transferencia.
4. Guarda el archivo JSON en una ubicación segura del sistema en el que ejecutarás el contenedor de Docker (por ejemplo, /path/to/service-account.json).

Configura el acceso a la API de CrowdStrike Falcon

Para habilitar Chronicle Intel Bridge y recuperar indicadores, debes crear un cliente de API con permisos de lectura para Falcon Intelligence Indicators.

Crea un cliente de API

1. Accede a la consola de CrowdStrike Falcon.
2. Ve a Asistencia y recursos > Recursos y herramientas > Clientes y claves de API.
3. Haz clic en Agregar nuevo cliente de API.
4. Proporciona los siguientes detalles de configuración:
   • Nombre del cliente: Ingresa un nombre descriptivo (por ejemplo, Chronicle Intel Bridge).
   • Descripción: Opcional: Ingresa Integration with Google Chronicle for threat intelligence indicators.
5. En la sección Permisos de la API, selecciona la casilla de verificación Lectura junto a Indicadores (Falcon Intelligence).
6. Haz clic en Crear.

Registra las credenciales de la API

• Después de crear el cliente de API, aparecerá un diálogo con tus credenciales:

  • ID de cliente: Es tu identificador de cliente único (por ejemplo, a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6).
  • Secreto del cliente: Tu clave de API secreta
  • URL base: Es el nombre de dominio completamente calificado para tu región (por ejemplo, api.us-2.crowdstrike.com).
  Importante: Copia y guarda el secreto del cliente de inmediato. No se puede recuperar después de cerrar este diálogo.
  Nota: Tu URL base varía según la región de la nube de CrowdStrike. Usa la URL base correcta que se muestra en el diálogo.

Extremos regionales

CrowdStrike Falcon usa diferentes endpoints de API según tu región de Cloud:

Región	URL base	URL de la consola
US-1	api.crowdstrike.com	https://falcon.crowdstrike.com
US-2	api.us-2.crowdstrike.com	https://falcon.us-2.crowdstrike.com
EU-1	api.eu-1.crowdstrike.com	https://falcon.eu-1.crowdstrike.com
US-GOV-1	api.laggar.gcw.crowdstrike.com	https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2	api.us-gov-2.crowdstrike.com	https://falcon.us-gov-2.crowdstrike.com

Usa la URL base que corresponda a la región de tu instancia de CrowdStrike Falcon. El código de región (por ejemplo, us-1, us-2, eu-1) se usa en la configuración de Docker.

Implementa CrowdStrike Chronicle Intel Bridge

Chronicle Intel Bridge es un contenedor de Docker que se ejecuta de forma continua para sondear CrowdStrike Falcon Intelligence en busca de indicadores y reenviarlos a Google Security Operations.

Configura las variables de entorno

1. Antes de ejecutar el contenedor de Docker, configura las siguientes variables de entorno con las credenciales que recopilaste:

   export FALCON_CLIENT_ID="your-client-id"
   export FALCON_CLIENT_SECRET="your-client-secret"
   export FALCON_CLOUD_REGION="your-cloud-region"
   export CHRONICLE_CUSTOMER_ID="your-customer-id"
   export CHRONICLE_REGION="your-chronicle-region"
   

2. Reemplaza los valores de marcador de posición:

   • your-client-id: Es el ID de cliente del cliente de API de CrowdStrike.
   • your-client-secret: El secreto del cliente de la API de CrowdStrike
   • your-cloud-region: Es tu región de la nube de CrowdStrike (por ejemplo, us-1, us-2, eu-1, us-gov-1, us-gov-2).
   • your-customer-id: Es el ID de cliente de Google SecOps.
   • your-chronicle-region: Es tu región de Google SecOps (consulta la configuración de la región de Chronicle más abajo).

Configuración de la región de Chronicle

La variable de entorno CHRONICLE_REGION especifica qué extremo regional de Google SecOps se debe usar. Se admiten los siguientes valores:

• Códigos de región heredados:

  • US (predeterminado si no se especifica)
  • EU
  • UK
  • IL
  • AU
  • SG

• Códigos de región de Google Cloud:

  • EUROPE
  • EUROPE-WEST2
  • EUROPE-WEST3
  • EUROPE-WEST6
  • EUROPE-WEST9
  • EUROPE-WEST12
  • ME-WEST1
  • ME-CENTRAL1
  • ME-CENTRAL2
  • ASIA-SOUTH1
  • ASIA-SOUTHEAST1
  • ASIA-NORTHEAST1
  • AUSTRALIA-SOUTHEAST1
  • SOUTHAMERICA-EAST1
  • NORTHAMERICA-NORTHEAST2
  Nota: Los códigos de región no distinguen mayúsculas de minúsculas. Si no se especifica o si se proporciona un valor no reconocido, se establece de forma predeterminada en el extremo multirregional de EE.UU.

Ejecuta el contenedor de Docker

Elige uno de los siguientes métodos de implementación:

• Modo interactivo (primer plano):

  Usa este modo para realizar pruebas y solucionar problemas:

  docker run -it --rm \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

• Modo desconectado (segundo plano con política de reinicio):

  Usa este modo para la implementación de producción:

  docker run -d --restart unless-stopped \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

  Reemplaza /path/to/your/service-account.json por la ruta de acceso real al archivo JSON de la cuenta de servicio de Google SecOps que descargaste antes.

  Nota: La marca --restart unless-stopped garantiza que el contenedor se reinicie automáticamente si se detiene de forma inesperada o si se reinicia el daemon de Docker.

Verifica la implementación

Después de iniciar el contenedor, verifica que los indicadores se reenvíen a Google Security Operations:

1. Verifica los registros del contenedor:

   docker logs chronicle-intel-bridge
   

2. En la consola de Google SecOps, busca eventos con el tipo de registro CROWDSTRIKE_IOC.

3. Verifica que los datos de los indicadores aparezcan en tu instancia de Google SecOps.

Configuración avanzada

Para acceder a opciones de configuración avanzadas, puedes personalizar el comportamiento de Intel Bridge con un archivo de configuración.

1. Descarga el archivo config.ini del repositorio de CrowdStrike Chronicle Intel Bridge.
2. Modifica el archivo de configuración según tus requisitos.

3. Activa el archivo de configuración en el contenedor con la marca de volumen:

   docker run -d --restart unless-stopped \
     --name chronicle-intel-bridge \
     -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
     -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
     -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
     -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
     -e CHRONICLE_REGION="$CHRONICLE_REGION" \
     -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
     -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
     -v /path/to/your/config.ini:/ccib/config.ini:ro \
     quay.io/crowdstrike/chronicle-intel-bridge:latest
   

Tipos de indicadores admitidos

El analizador de indicadores de compromiso (IoC) de CrowdStrike admite los siguientes tipos de indicadores:

Tipo de indicador	Descripción
dominio	Nombres de dominio asociados con actividad maliciosa
email_address	Direcciones de correo electrónico usadas en ataques
file_name	Nombres de archivos maliciosos
file_path	Rutas de acceso del sistema de archivos asociadas con amenazas
hash_md5	Hashes MD5 de archivos
hash_sha1	Hashes de archivos SHA-1
hash_sha256	Hashes de archivos SHA-256
ip_address	Direcciones IP asociadas con actividad maliciosa
mutex_name	Nombres de exclusiones mutuas que usa el malware
url	URLs asociadas con amenazas

Administra el contenedor de Docker

Usa los siguientes comandos de Docker para administrar Chronicle Intel Bridge:

• Consulta el estado del contenedor:

  docker ps -a | grep chronicle-intel-bridge
  

• Consulta los registros del contenedor:

  docker logs chronicle-intel-bridge
  

• Sigue los registros de contenedores en tiempo real:

  docker logs -f chronicle-intel-bridge
  

• Detén el contenedor:

  docker stop chronicle-intel-bridge
  

• Inicia el contenedor:

  docker start chronicle-intel-bridge
  

• Reinicia el contenedor:

  docker restart chronicle-intel-bridge
  

• Quita el contenedor:

  docker stop chronicle-intel-bridge
  docker rm chronicle-intel-bridge
  

Soluciona problemas

Si tienes problemas con Chronicle Intel Bridge, haz lo siguiente:

1. Verifica que las credenciales de la API de CrowdStrike sean correctas y tengan el permiso Indicadores (Falcon Intelligence): READ.
2. Verifica que el ID de cliente de Google SecOps sea correcto.
3. Verifica que el archivo JSON de la cuenta de servicio de Google SecOps sea válido y que el contenedor de Docker pueda acceder a él.
4. Verifica que la región de la nube de CrowdStrike sea correcta (por ejemplo, us-1, us-2, eu-1).
5. Verifica que la región de Google SecOps sea correcta.

6. Revisa los registros del contenedor para ver si hay mensajes de error:

   docker logs chronicle-intel-bridge
   

7. Verifica la conectividad de red desde el host de Docker a los endpoints de API de CrowdStrike y a los extremos de transferencia de Google SecOps.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
cuando	metadata.event_timestamp	El valor se copia directamente.
messageid	metadata.id	El valor se copia directamente.
protocolo	network.ip_protocol	El valor se copia directamente.
deviceName	principal.hostname	El valor se copia directamente.
srcAddr	principal.ip	El valor se copia directamente.
srcPort	principal.port	El valor se copia directamente.
acción	security_result.action	El valor se copia directamente.
dstAddr	target.ip	El valor se copia directamente.
dstPort	target.port	El valor se copia directamente.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.