איסוף יומני IOC של Crowdstrike

גרסת המנתח: 3.0

נתמך ב:

במאמר הזה מוסבר איך לאסוף יומני CrowdStrike IOC באמצעות CrowdStrike Chronicle Intel Bridge, קונטיינר של Docker שמעביר אינדיקטורים של מודיעין איומי סייבר מ-CrowdStrike Falcon Intelligence אל Google Security Operations.

‫CrowdStrike Falcon Intelligence מספק אינדיקטורים של מודיעין איומי סייבר, כולל דומיינים, כתובות IP, גיבובים של קבצים, כתובות URL, כתובות אימייל, נתיבי קבצים, שמות קבצים ושמות של אובייקטי mutex. ה-Chronicle Intel Bridge מבצע שאילתות ל-CrowdStrike Intel API ומעביר את האינדיקטורים האלה ל-Google Security Operations לצורך זיהוי וניתוח איומים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • גישה עם הרשאות ל-CrowdStrike Falcon Console עם הרשאות ליצירת לקוחות API
  • מינוי ל-CrowdStrike Falcon Intelligence
  • ‫Docker מותקן במערכת שיכולה לפעול באופן רציף כדי לשלוח שאילתות ל-CrowdStrike ולהעביר אינדיקטורים
  • כל המערכות בארכיטקטורת הפריסה מוגדרות לפי אזור הזמן UTC

קבלת פרטי כניסה ל-Google SecOps

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הורדת קובץ של חשבון שירות Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. לוחצים על הורדת קובץ אימות להטמעת נתונים.
  4. שומרים את קובץ ה-JSON במיקום מאובטח במערכת שבה יופעל קונטיינר Docker (לדוגמה, /path/to/service-account.json).

הגדרת גישה ל-API של CrowdStrike Falcon

כדי לאפשר ל-Chronicle Intel Bridge לאחזר אינדיקטורים, צריך ליצור לקוח API עם הרשאות קריאה לאינדיקטורים של Falcon Intelligence.

יצירת לקוח API

  1. נכנסים למסוף CrowdStrike Falcon.
  2. עוברים אל תמיכה ומשאבים > משאבים וכלים > לקוחות ומפתחות API.
  3. לוחצים על הוספת לקוח API חדש.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם הלקוח: מזינים שם תיאורי (לדוגמה, Chronicle Intel Bridge).
    • תיאור: אופציונלי: מזינים Integration with Google Chronicle for threat intelligence indicators.
  5. בקטע API scopes, מסמנים את תיבת הסימון Read לצד Indicators (Falcon Intelligence).
  6. לוחצים על יצירה.

תיעוד פרטי הכניסה ל-API

  • אחרי שיוצרים את לקוח ה-API, מוצגות תיבת דו-שיח עם פרטי הכניסה:

    • Client ID: מזהה הלקוח הייחודי שלכם (לדוגמה, a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6)
    • ‫Client Secret: מפתח ה-API Secret
    • כתובת URL בסיסית: שם הדומיין המוגדר במלואו לאזור שלכם (לדוגמה, api.us-2.crowdstrike.com)

נקודות קצה אזוריות

‫CrowdStrike Falcon משתמש בנקודות קצה שונות של API בהתאם לאזור הענן שלכם:

אזור כתובת URL בסיסית כתובת ה-URL של המסוף
US-1 api.crowdstrike.com https://falcon.crowdstrike.com
US-2 api.us-2.crowdstrike.com https://falcon.us-2.crowdstrike.com
EU-1 api.eu-1.crowdstrike.com https://falcon.eu-1.crowdstrike.com
US-GOV-1 api.laggar.gcw.crowdstrike.com https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2 api.us-gov-2.crowdstrike.com https://falcon.us-gov-2.crowdstrike.com

משתמשים בכתובת ה-URL הבסיסית שתואמת לאזור של המכונה של CrowdStrike Falcon. קוד האזור (לדוגמה, us-1, ‏ us-2, ‏ eu-1) משמש בהגדרת Docker.

פריסת CrowdStrike Chronicle Intel Bridge

‫Chronicle Intel Bridge הוא קובץ Docker container שפועל באופן רציף כדי לבצע סקר ב-CrowdStrike Falcon Intelligence לגבי אינדיקטורים ולהעביר אותם ל-Google Security Operations.

הגדרה של משתני סביבה

  1. לפני שמריצים את הקונטיינר של Docker, צריך להגדיר את משתני הסביבה הבאים עם פרטי הכניסה שאספתם:

    export FALCON_CLIENT_ID="your-client-id"
export FALCON_CLIENT_SECRET="your-client-secret"
export FALCON_CLOUD_REGION="your-cloud-region"
export CHRONICLE_CUSTOMER_ID="your-customer-id"
export CHRONICLE_REGION="your-chronicle-region"

  2. מחליפים את הערכים הזמניים לשמירת מקום (placeholder):

    • ‫your-client-id: מזהה הלקוח מלקוח ה-API של CrowdStrike
    • ‫your-client-secret: סוד הלקוח מלקוח ה-API של CrowdStrike
    • ‫your-cloud-region: האזור שלכם בענן של CrowdStrike (לדוגמה, us-1, ‏ us-2, ‏ eu-1, ‏ us-gov-1, ‏ us-gov-2)
    • your-customer-id: מספר הלקוח ב-Google SecOps
    • ‫your-chronicle-region: האזור שלכם ב-Google SecOps (ראו הגדרת אזור ב-Chronicle בהמשך)

הגדרה של אזור Chronicle

משתנה הסביבה CHRONICLE_REGION מציין באיזה נקודת קצה אזורית של Google SecOps להשתמש. יש תמיכה בערכים הבאים:

  • קודים של אזורים מדור קודם:

    • ‫US (ברירת המחדל אם לא צוין אחרת)
    • EU
    • UK
    • IL
    • AU
    • SG

  • קודי אזורים ב-Google Cloud:

    • EUROPE
    • EUROPE-WEST2
    • EUROPE-WEST3
    • EUROPE-WEST6
    • EUROPE-WEST9
    • EUROPE-WEST12
    • ME-WEST1
    • ME-CENTRAL1
    • ME-CENTRAL2
    • ASIA-SOUTH1
    • ASIA-SOUTHEAST1
    • ASIA-NORTHEAST1
    • AUSTRALIA-SOUTHEAST1
    • SOUTHAMERICA-EAST1
    • NORTHAMERICA-NORTHEAST2

מריצים את מאגר Docker

בוחרים אחת משיטות הפריסה הבאות:

  • מצב אינטראקטיבי (חזית):

    אפשר להשתמש במצב הזה לבדיקה ולפתרון בעיות:

    docker run -it --rm \
  --name chronicle-intel-bridge \
  -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
  -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
  -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
  -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
  -e CHRONICLE_REGION="$CHRONICLE_REGION" \
  -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
  -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
  quay.io/crowdstrike/chronicle-intel-bridge:latest

  • מצב מנותק (רקע עם מדיניות הפעלה מחדש):

    משתמשים במצב הזה לפריסה בסביבת ייצור:

    docker run -d --restart unless-stopped \
  --name chronicle-intel-bridge \
  -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
  -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
  -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
  -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
  -e CHRONICLE_REGION="$CHRONICLE_REGION" \
  -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
  -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
  quay.io/crowdstrike/chronicle-intel-bridge:latest

    מחליפים את /path/to/your/service-account.json בנתיב בפועל לקובץ ה-JSON של חשבון השירות של Google SecOps שהורדתם קודם.

אימות הפריסה

אחרי שמפעילים את מאגר התגים, צריך לוודא שהאינדיקטורים מועברים ל-Google Security Operations:

  1. בודקים את יומני הקונטיינר:

    docker logs chronicle-intel-bridge

  2. במסוף Google SecOps, מחפשים אירועים עם סוג היומן CROWDSTRIKE_IOC.

  3. מוודאים שנתוני האינדיקטורים מופיעים במופע Google SecOps שלכם.

הגדרה מתקדמת

כדי להגדיר אפשרויות מתקדמות, אתם יכולים להתאים אישית את ההתנהגות של Intel Bridge באמצעות קובץ תצורה.

  1. מורידים את הקובץ config.ini ממאגר CrowdStrike Chronicle Intel Bridge.
  2. משנים את קובץ התצורה בהתאם לדרישות.

  3. טוענים את קובץ התצורה לקונטיינר באמצעות הדגל volume:

    docker run -d --restart unless-stopped \
  --name chronicle-intel-bridge \
  -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
  -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
  -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
  -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
  -e CHRONICLE_REGION="$CHRONICLE_REGION" \
  -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
  -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
  -v /path/to/your/config.ini:/ccib/config.ini:ro \
  quay.io/crowdstrike/chronicle-intel-bridge:latest

סוגי האינדיקטורים הנתמכים

כלי הניתוח של CrowdStrike Indicator of Compromise ‏ (IoC) תומך בסוגי האינדיקטורים הבאים:

סוג האינדיקטור תיאור
דומיין שמות דומיין שמשויכים לפעילות זדונית
email_address כתובות אימייל שמשמשות להתקפות
file_name שמות קבצים זדוניים
file_path נתיבי מערכת קבצים שמשויכים לאיומים
hash_md5 גיבובי קובץ MD5
hash_sha1 גיבובי SHA-1 של קבצים
hash_sha256 גיבובי SHA-256 של קבצים
ip_address כתובות IP שמשויכות לפעילות זדונית
mutex_name שמות של Mutex שמשמשים תוכנות זדוניות
url כתובות URL שמשויכות לאיומים

ניהול קונטיינר Docker

משתמשים בפקודות Docker הבאות כדי לנהל את Chronicle Intel Bridge:

  • הצגת סטטוס המאגר:

    docker ps -a | grep chronicle-intel-bridge

  • הצגת יומני מאגר:

    docker logs chronicle-intel-bridge

  • מעקב אחרי יומני מאגר התגים בזמן אמת:

    docker logs -f chronicle-intel-bridge

  • עוצרים את מאגר התגים:

    docker stop chronicle-intel-bridge

  • מפעילים את הקונטיינר:

    docker start chronicle-intel-bridge

  • מפעילים מחדש את המאגר:

    docker restart chronicle-intel-bridge

  • מסירים את מאגר התגים:

    docker stop chronicle-intel-bridge
docker rm chronicle-intel-bridge

פתרון בעיות

אם נתקלתם בבעיות ב-Chronicle Intel Bridge:

  1. מוודאים שפרטי הכניסה ל-CrowdStrike API נכונים ושהיקף ההרשאות הוא Indicators (Falcon Intelligence): READ.
  2. מוודאים שמספר הלקוח ב-Google SecOps נכון.
  3. מוודאים שקובץ ה-JSON של חשבון השירות של Google SecOps תקין ונגיש לקונטיינר של Docker.
  4. מוודאים שאזור הענן של CrowdStrike נכון (לדוגמה, us-1, ‏us-2, ‏eu-1).
  5. מוודאים שהאזור ב-Google SecOps נכון.

  6. בודקים אם יש הודעות שגיאה ביומני הקונטיינר:

    docker logs chronicle-intel-bridge

  7. מוודאים שיש קישוריות לרשת ממארח Docker לנקודות קצה ל-API של CrowdStrike ולנקודות הקצה של Google SecOps לצורך הטמעת נתונים.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
מתי metadata.event_timestamp הערך הועתק ישירות
messageid metadata.id הערך הועתק ישירות
פרוטוקול network.ip_protocol הערך הועתק ישירות
deviceName principal.hostname הערך הועתק ישירות
srcAddr principal.ip הערך הועתק ישירות
srcPort principal.port הערך הועתק ישירות
פעולה security_result.action הערך הועתק ישירות
dstAddr target.ip הערך הועתק ישירות
dstPort target.port הערך הועתק ישירות

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.