Recopila registros de IOC de Crowdstrike

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo recopilar registros de IOC de CrowdStrike con CrowdStrike Chronicle Intel Bridge, un contenedor de Docker que reenvía indicadores de inteligencia sobre amenazas de CrowdStrike Falcon Intelligence a Google Security Operations.

CrowdStrike Falcon Intelligence proporciona indicadores de inteligencia sobre amenazas, incluidos dominios, direcciones IP, hashes de archivos, URLs, direcciones de correo electrónico, rutas de acceso a archivos, nombres de archivos y nombres de mutex. El puente de Chronicle Intel sondea la API de CrowdStrike Intel y reenvía estos indicadores a Google Security Operations para la detección y el análisis de amenazas.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso privilegiado a la consola de CrowdStrike Falcon con permisos para crear clientes de API
• Suscripción a CrowdStrike Falcon Intelligence
• Docker instalado en un sistema que puede ejecutarse de forma continua para sondear CrowdStrike y reenviar indicadores
• Todos los sistemas de la arquitectura de implementación están configurados en la zona horaria UTC.

Obtén credenciales de Google SecOps

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Descarga el archivo de la cuenta de servicio de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Haz clic en Descargar archivo de autenticación de transferencia.
4. Guarda el archivo JSON en una ubicación segura del sistema en el que ejecutarás el contenedor de Docker (por ejemplo, /path/to/service-account.json).

Configura el acceso a la API de CrowdStrike Falcon

Para permitir que Chronicle Intel Bridge recupere indicadores, debes crear un cliente de API con permisos de lectura para los indicadores de Falcon Intelligence.

Crea un cliente de API

1. Accede a la consola de CrowdStrike Falcon.
2. Ve a Asistencia y recursos > Recursos y herramientas > Clientes y claves de API.
3. Haz clic en Agregar cliente de API nuevo.
4. Proporciona los siguientes detalles de configuración:
   • Nombre del cliente: Ingresa un nombre descriptivo (por ejemplo, Chronicle Intel Bridge).
   • Descripción: Opcional: Ingresa Integration with Google Chronicle for threat intelligence indicators.
5. En la sección Alcances de la API, selecciona la casilla de verificación Lectura junto a Indicadores (Falcon Intelligence).
6. Haz clic en Crear.

Registra las credenciales de la API

• Después de crear el cliente de API, aparecerá un diálogo con tus credenciales:

  • ID de cliente: Es tu identificador de cliente único (por ejemplo, a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6).
  • Secreto del cliente: Es tu clave secreta de la API.
  • URL base: Es el nombre de dominio completamente calificado para tu región (por ejemplo, api.us-2.crowdstrike.com).
  Importante: Copia y guarda el secreto del cliente de inmediato. No se puede recuperar después de cerrar este diálogo.
  Nota: Tu URL base varía según la región de la nube de CrowdStrike. Usa la URL base correcta que se muestra en el diálogo.

Extremos regionales

CrowdStrike Falcon usa diferentes extremos de API según tu región de la nube:

Región	URL base	URL de la consola
US-1	api.crowdstrike.com	https://falcon.crowdstrike.com
US-2	api.us-2.crowdstrike.com	https://falcon.us-2.crowdstrike.com
EU-1	api.eu-1.crowdstrike.com	https://falcon.eu-1.crowdstrike.com
US-GOV-1	api.laggar.gcw.crowdstrike.com	https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2	api.us-gov-2.crowdstrike.com	https://falcon.us-gov-2.crowdstrike.com

Usa la URL base que corresponde a la región de tu instancia de CrowdStrike Falcon. El código de región (por ejemplo, us-1, us-2, eu-1) se usa en la configuración de Docker.

Implementa el puente de CrowdStrike Chronicle Intel

Chronicle Intel Bridge es un contenedor de Docker que se ejecuta de forma continua para sondear CrowdStrike Falcon Intelligence en busca de indicadores y reenviarlos a Google Security Operations.

Configura las variables de entorno

1. Antes de ejecutar el contenedor de Docker, configura las siguientes variables de entorno con las credenciales que recopilaste:

   export FALCON_CLIENT_ID="your-client-id"
   export FALCON_CLIENT_SECRET="your-client-secret"
   export FALCON_CLOUD_REGION="your-cloud-region"
   export CHRONICLE_CUSTOMER_ID="your-customer-id"
   export CHRONICLE_REGION="your-chronicle-region"
   

2. Reemplaza los valores de marcador de posición:

   • your-client-id: Es el ID de cliente del cliente de la API de CrowdStrike.
   • your-client-secret: El secreto del cliente de la API de CrowdStrike
   • your-cloud-region: Tu región de la nube de CrowdStrike (por ejemplo, us-1, us-2, eu-1, us-gov-1, us-gov-2)
   • your-customer-id: Tu ID de cliente de Google SecOps
   • your-chronicle-region: Tu región de Google SecOps (consulta la configuración de la región de Chronicle a continuación)

Configuración de la región de Chronicle

La variable de entorno CHRONICLE_REGION especifica qué extremo regional de Google SecOps se debe usar. Se admiten los siguientes valores:

• Códigos de región heredados:

  • US (valor predeterminado si no se especifica)
  • EU
  • UK
  • IL
  • AU
  • SG

• Códigos de regiones de Google Cloud:

  • EUROPE
  • EUROPE-WEST2
  • EUROPE-WEST3
  • EUROPE-WEST6
  • EUROPE-WEST9
  • EUROPE-WEST12
  • ME-WEST1
  • ME-CENTRAL1
  • ME-CENTRAL2
  • ASIA-SOUTH1
  • ASIA-SOUTHEAST1
  • ASIA-NORTHEAST1
  • AUSTRALIA-SOUTHEAST1
  • SOUTHAMERICA-EAST1
  • NORTHAMERICA-NORTHEAST2
  Nota: Los códigos de región no distinguen mayúsculas de minúsculas. Si no se especifica o se proporciona un valor no reconocido, se usará de forma predeterminada el extremo multirregional de EE.UU.

Ejecuta el contenedor de Docker

Elige uno de los siguientes métodos de implementación:

• Modo interactivo (en primer plano):

  Usa este modo para realizar pruebas y solucionar problemas:

  docker run -it --rm \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

• Modo separado (segundo plano con política de reinicio):

  Usa este modo para la implementación de producción:

  docker run -d --restart unless-stopped \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

  Reemplaza /path/to/your/service-account.json por la ruta de acceso real al archivo JSON de la cuenta de servicio de Google SecOps que descargaste anteriormente.

  Nota: La marca --restart unless-stopped garantiza que el contenedor se reinicie automáticamente si se detiene de forma inesperada o si se reinicia el daemon de Docker.

Verifica la implementación

Después de iniciar el contenedor, verifica que los indicadores se reenvíen a Google Security Operations:

1. Verifica los registros del contenedor:

   docker logs chronicle-intel-bridge
   

2. En la consola de Google SecOps, busca eventos con el tipo de registro CROWDSTRIKE_IOC.

3. Verifica que los datos de los indicadores aparezcan en tu instancia de Google SecOps.

Configuración avanzada

Para obtener opciones de configuración avanzadas, puedes personalizar el comportamiento de Intel Bridge con un archivo de configuración.

1. Descarga el archivo config.ini del repositorio de CrowdStrike Chronicle Intel Bridge.
2. Modifica el archivo de configuración según tus requisitos.

3. Activa el archivo de configuración en el contenedor con la marca de volumen:

   docker run -d --restart unless-stopped \
     --name chronicle-intel-bridge \
     -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
     -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
     -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
     -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
     -e CHRONICLE_REGION="$CHRONICLE_REGION" \
     -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
     -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
     -v /path/to/your/config.ini:/ccib/config.ini:ro \
     quay.io/crowdstrike/chronicle-intel-bridge:latest
   

Tipos de indicadores admitidos

El analizador de indicadores de compromiso (IoC) de CrowdStrike admite los siguientes tipos de indicadores:

Tipo de indicador	Descripción
dominio	Nombres de dominio asociados con actividad maliciosa
email_address	Direcciones de correo electrónico que se usan en los ataques
file_name	Nombres de archivos maliciosos
file_path	Rutas del sistema de archivos asociadas con amenazas
hash_md5	Hashes MD5 de archivos
hash_sha1	Hashes de archivos SHA-1
hash_sha256	Hashes de archivos SHA-256
ip_address	Direcciones IP asociadas con actividad maliciosa
mutex_name	Nombres de exclusiones mutuas que usa el software malicioso
url	URLs asociadas con amenazas

Administra el contenedor de Docker

Usa los siguientes comandos de Docker para administrar Chronicle Intel Bridge:

• Cómo ver el estado del contenedor:

  docker ps -a | grep chronicle-intel-bridge
  

• Cómo ver los registros del contenedor:

  docker logs chronicle-intel-bridge
  

• Sigue los registros del contenedor en tiempo real:

  docker logs -f chronicle-intel-bridge
  

• Detén el contenedor:

  docker stop chronicle-intel-bridge
  

• Inicia el contenedor:

  docker start chronicle-intel-bridge
  

• Reinicia el contenedor:

  docker restart chronicle-intel-bridge
  

• Quita el contenedor:

  docker stop chronicle-intel-bridge
  docker rm chronicle-intel-bridge
  

Soluciona problemas

Si tienes problemas con Chronicle Intel Bridge, haz lo siguiente:

1. Verifica que las credenciales de la API de CrowdStrike sean correctas y tengan el alcance Indicators (Falcon Intelligence): READ.
2. Verifica que el ID de cliente de Google SecOps sea correcto.
3. Verifica que el archivo JSON de la cuenta de servicio de Google SecOps sea válido y accesible para el contenedor de Docker.
4. Verifica que la región de la nube de CrowdStrike sea correcta (por ejemplo, us-1, us-2, eu-1).
5. Verifica que la región de Google SecOps sea correcta.

6. Revisa los registros del contenedor en busca de mensajes de error:

   docker logs chronicle-intel-bridge
   

7. Verifica la conectividad de red desde el host de Docker a los extremos de la API de CrowdStrike y a los extremos de transferencia de Google SecOps.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
cuando	metadata.event_timestamp	Valor copiado directamente
messageid	metadata.id	Valor copiado directamente
protocolo	network.ip_protocol	Valor copiado directamente
deviceName	principal.hostname	Valor copiado directamente
srcAddr	principal.ip	Valor copiado directamente
srcPort	principal.port	Valor copiado directamente
acción	security_result.action	Valor copiado directamente
dstAddr	target.ip	Valor copiado directamente
dstPort	target.port	Valor copiado directamente

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.