Mengumpulkan log IOC Crowdstrike

Versi Parser: 3.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log IOC CrowdStrike menggunakan CrowdStrike Chronicle Intel Bridge, container Docker yang meneruskan indikator threat intelligence dari CrowdStrike Falcon Intelligence ke Google Security Operations.

CrowdStrike Falcon Intelligence menyediakan indikator threat intelligence, termasuk domain, alamat IP, hash file, URL, alamat email, jalur file, nama file, dan nama mutex. Chronicle Intel Bridge melakukan polling pada CrowdStrike Intel API dan meneruskan indikator ini ke Google Security Operations untuk deteksi dan analisis ancaman.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke CrowdStrike Falcon Console dengan izin untuk membuat klien API
• Langganan CrowdStrike Falcon Intelligence
• Docker yang diinstal di sistem yang dapat berjalan terus-menerus untuk melakukan polling CrowdStrike dan meneruskan indikator
• Semua sistem dalam arsitektur deployment dikonfigurasi dalam zona waktu UTC

Mendapatkan kredensial Google SecOps

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Mendownload file akun layanan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Klik Download Ingestion Authentication File.
4. Simpan file JSON ke lokasi yang aman di sistem tempat Anda akan menjalankan container Docker (misalnya, /path/to/service-account.json).

Mengonfigurasi akses API CrowdStrike Falcon

Agar Chronicle Intel Bridge dapat mengambil indikator, Anda perlu membuat klien API dengan izin baca untuk Falcon Intelligence Indicators.

Membuat klien API

1. Login ke CrowdStrike Falcon Console.
2. Buka Support and resources > Resources and tools > API Clients and Keys.
3. Klik Tambahkan klien API baru.
4. Berikan detail konfigurasi berikut:
   • Client name: Masukkan nama deskriptif (misalnya, Chronicle Intel Bridge).
   • Deskripsi: Opsional: Masukkan Integration with Google Chronicle for threat intelligence indicators.
5. Di bagian API scopes, centang kotak Read di samping Indicators (Falcon Intelligence).
6. Klik Create.

Mencatat kredensial API

• Setelah membuat klien API, dialog akan menampilkan kredensial Anda:

  • Client ID: ID klien unik Anda (misalnya, a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6)
  • Rahasia Klien: Kunci rahasia API Anda
  • URL dasar: Nama domain yang sepenuhnya memenuhi syarat untuk region Anda (misalnya, api.us-2.crowdstrike.com)
  Penting: Segera salin dan simpan rahasia klien. URL ini tidak dapat diambil setelah menutup dialog ini.
  Catatan: URL Dasar Anda bervariasi, bergantung pada region cloud CrowdStrike Anda. Gunakan URL dasar yang benar yang ditampilkan dalam dialog.

Endpoint regional

CrowdStrike Falcon menggunakan endpoint API yang berbeda berdasarkan region cloud Anda:

Wilayah	URL Dasar	URL Konsol
US-1	api.crowdstrike.com	https://falcon.crowdstrike.com
US-2	api.us-2.crowdstrike.com	https://falcon.us-2.crowdstrike.com
EU-1	api.eu-1.crowdstrike.com	https://falcon.eu-1.crowdstrike.com
US-GOV-1	api.laggar.gcw.crowdstrike.com	https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2	api.us-gov-2.crowdstrike.com	https://falcon.us-gov-2.crowdstrike.com

Gunakan URL dasar yang sesuai dengan region instance CrowdStrike Falcon Anda. Kode region (misalnya, us-1, us-2, eu-1) digunakan dalam konfigurasi Docker.

Men-deploy CrowdStrike Chronicle Intel Bridge

Chronicle Intel Bridge adalah container Docker yang berjalan terus-menerus untuk mengumpulkan indikator dari CrowdStrike Falcon Intelligence dan meneruskannya ke Google Security Operations.

Menetapkan variabel lingkungan

1. Sebelum menjalankan container Docker, tetapkan variabel lingkungan berikut dengan kredensial yang Anda kumpulkan:

   export FALCON_CLIENT_ID="your-client-id"
   export FALCON_CLIENT_SECRET="your-client-secret"
   export FALCON_CLOUD_REGION="your-cloud-region"
   export CHRONICLE_CUSTOMER_ID="your-customer-id"
   export CHRONICLE_REGION="your-chronicle-region"
   

2. Ganti nilai placeholder:

   • your-client-id: Client ID dari klien API CrowdStrike
   • your-client-secret: Rahasia Klien dari klien API CrowdStrike
   • your-cloud-region: Region cloud CrowdStrike Anda (misalnya, us-1, us-2, eu-1, us-gov-1, us-gov-2)
   • your-customer-id: ID Pelanggan Google SecOps Anda
   • your-chronicle-region: Region Google SecOps Anda (lihat konfigurasi region Chronicle di bawah)

Konfigurasi region Chronicle

Variabel lingkungan CHRONICLE_REGION menentukan endpoint regional Google SecOps yang akan digunakan. Nilai-nilai berikut didukung:

• Kode wilayah lama:

  • US (default jika tidak ditentukan)
  • EU
  • UK
  • IL
  • AU
  • SG

• Kode region Google Cloud:

  • EUROPE
  • EUROPE-WEST2
  • EUROPE-WEST3
  • EUROPE-WEST6
  • EUROPE-WEST9
  • EUROPE-WEST12
  • ME-WEST1
  • ME-CENTRAL1
  • ME-CENTRAL2
  • ASIA-SOUTH1
  • ASIA-SOUTHEAST1
  • ASIA-NORTHEAST1
  • AUSTRALIA-SOUTHEAST1
  • SOUTHAMERICA-EAST1
  • NORTHAMERICA-NORTHEAST2
  Catatan: Kode wilayah tidak peka huruf besar/kecil. Jika tidak ditentukan atau jika nilai yang tidak dikenali diberikan, endpoint akan ditetapkan secara default ke endpoint multi-region AS.

Menjalankan container Docker

Pilih salah satu metode deployment berikut:

• Mode interaktif (latar depan):

  Gunakan mode ini untuk pengujian dan pemecahan masalah:

  docker run -it --rm \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

• Mode terpisah (latar belakang dengan kebijakan mulai ulang):

  Gunakan mode ini untuk deployment produksi:

  docker run -d --restart unless-stopped \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

  Ganti /path/to/your/service-account.json dengan jalur sebenarnya ke file JSON akun layanan Google SecOps yang Anda download sebelumnya.

  Catatan: Flag --restart unless-stopped memastikan container otomatis dimulai ulang jika berhenti secara tidak terduga atau jika daemon Docker dimulai ulang.

Memverifikasi deployment

Setelah memulai container, pastikan indikator diteruskan ke Google Security Operations:

1. Periksa log container:

   docker logs chronicle-intel-bridge
   

2. Di konsol Google SecOps, telusuri peristiwa dengan jenis log CROWDSTRIKE_IOC.

3. Pastikan data indikator muncul di instance Google SecOps Anda.

Konfigurasi lanjutan

Untuk opsi konfigurasi lanjutan, Anda dapat menyesuaikan perilaku Intel Bridge menggunakan file konfigurasi.

1. Download file config.ini dari repositori CrowdStrike Chronicle Intel Bridge.
2. Ubah file konfigurasi sesuai kebutuhan Anda.

3. Pasang file konfigurasi ke container menggunakan flag volume:

   docker run -d --restart unless-stopped \
     --name chronicle-intel-bridge \
     -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
     -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
     -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
     -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
     -e CHRONICLE_REGION="$CHRONICLE_REGION" \
     -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
     -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
     -v /path/to/your/config.ini:/ccib/config.ini:ro \
     quay.io/crowdstrike/chronicle-intel-bridge:latest
   

Jenis indikator yang didukung

Parser Indikator Penyusupan (IoC) CrowdStrike mendukung jenis indikator berikut:

Jenis Indikator	Deskripsi
domain	Nama domain yang terkait dengan aktivitas berbahaya
email_address	Alamat email yang digunakan dalam serangan
file_name	Nama file berbahaya
file_path	Jalur sistem file yang terkait dengan ancaman
hash_md5	Hash file MD5
hash_sha1	Hash file SHA-1
hash_sha256	Hash file SHA-256
ip_address	Alamat IP yang terkait dengan aktivitas berbahaya
mutex_name	Nama mutex yang digunakan oleh malware
url	URL yang terkait dengan ancaman

Mengelola container Docker

Gunakan perintah Docker berikut untuk mengelola Chronicle Intel Bridge:

• Melihat status penampung:

  docker ps -a | grep chronicle-intel-bridge
  

• Melihat log container:

  docker logs chronicle-intel-bridge
  

• Ikuti log container secara real-time:

  docker logs -f chronicle-intel-bridge
  

• Hentikan container:

  docker stop chronicle-intel-bridge
  

• Mulai container:

  docker start chronicle-intel-bridge
  

• Mulai ulang container:

  docker restart chronicle-intel-bridge
  

• Menghapus penampung:

  docker stop chronicle-intel-bridge
  docker rm chronicle-intel-bridge
  

Pemecahan masalah

Jika Anda mengalami masalah dengan Chronicle Intel Bridge:

1. Pastikan kredensial CrowdStrike API sudah benar dan memiliki cakupan Indicators (Falcon Intelligence): READ.
2. Pastikan ID Pelanggan Google SecOps sudah benar.
3. Pastikan file JSON akun layanan Google SecOps valid dan dapat diakses oleh container Docker.
4. Pastikan region cloud CrowdStrike sudah benar (misalnya, us-1, us-2, eu-1).
5. Pastikan region Google SecOps sudah benar.

6. Periksa log container untuk melihat pesan error:

   docker logs chronicle-intel-bridge
   

7. Verifikasi konektivitas jaringan dari host Docker ke endpoint API CrowdStrike dan endpoint penyerapan Google SecOps.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
kapan	metadata.event_timestamp	Nilai disalin langsung
messageid	metadata.id	Nilai disalin langsung
protokol	network.ip_protocol	Nilai disalin langsung
deviceName	principal.hostname	Nilai disalin langsung
srcAddr	principal.ip	Nilai disalin langsung
srcPort	principal.port	Nilai disalin langsung
tindakan	security_result.action	Nilai disalin langsung
dstAddr	target.ip	Nilai disalin langsung
dstPort	target.port	Nilai disalin langsung

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.