Raccogli i log IOC di Crowdstrike

Versione parser: 3.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come raccogliere i log degli IOC di CrowdStrike utilizzando CrowdStrike Chronicle Intel Bridge, un container Docker che inoltra gli indicatori di threat intelligence da CrowdStrike Falcon Intelligence a Google Security Operations.

CrowdStrike Falcon Intelligence fornisce indicatori di threat intelligence, tra cui domini, indirizzi IP, hash di file, URL, indirizzi email, percorsi di file, nomi di file e nomi di mutex. Chronicle Intel Bridge esegue il polling dell'API CrowdStrike Intel e inoltra questi indicatori a Google Security Operations per il rilevamento e l'analisi delle minacce.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso con privilegi alla console CrowdStrike Falcon con autorizzazioni per creare client API
• Abbonamento a CrowdStrike Falcon Intelligence
• Docker installato su un sistema che può essere eseguito continuamente per eseguire il polling di CrowdStrike e inoltrare gli indicatori
• Tutti i sistemi nell'architettura di deployment sono configurati nel fuso orario UTC

Ottieni le credenziali di Google SecOps

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Scarica il file del account di servizio Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Fai clic su Scarica file di autenticazione dell'acquisizione.
4. Salva il file JSON in una posizione sicura sul sistema in cui eseguirai il container Docker (ad esempio /path/to/service-account.json).

Configura l'accesso all'API CrowdStrike Falcon

Per consentire a Chronicle Intel Bridge di recuperare gli indicatori, devi creare un client API con autorizzazioni in lettura per Falcon Intelligence Indicators.

Crea client API

1. Accedi alla console CrowdStrike Falcon.
2. Vai ad Assistenza e risorse > Risorse e strumenti > Client e chiavi API.
3. Fai clic su Aggiungi nuovo client API.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome client: inserisci un nome descrittivo (ad esempio Chronicle Intel Bridge).
   • Descrizione: (facoltativo) inserisci Integration with Google Chronicle for threat intelligence indicators.
5. Nella sezione Ambiti API, seleziona la casella di controllo Lettura accanto a Indicatori (Falcon Intelligence).
6. Fai clic su Crea.

Registra le credenziali API

• Dopo aver creato il client API, viene visualizzata una finestra di dialogo con le tue credenziali:

  • ID client: il tuo identificatore client univoco (ad esempio, a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6)
  • Client secret: la tua chiave secret API
  • URL di base: il nome di dominio completo della tua regione (ad esempio, api.us-2.crowdstrike.com)
  Importante: copia e salva immediatamente il client secret. Non può essere recuperato dopo aver chiuso questa finestra di dialogo.
  Nota: l'URL di base varia a seconda della regione cloud di CrowdStrike. Utilizza l'URL di base corretto visualizzato nella finestra di dialogo.

Endpoint regionali

CrowdStrike Falcon utilizza endpoint API diversi in base alla regione cloud:

Regione	URL di base	URL console
US-1	api.crowdstrike.com	https://falcon.crowdstrike.com
US-2	api.us-2.crowdstrike.com	https://falcon.us-2.crowdstrike.com
EU-1	api.eu-1.crowdstrike.com	https://falcon.eu-1.crowdstrike.com
US-GOV-1	api.laggar.gcw.crowdstrike.com	https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2	api.us-gov-2.crowdstrike.com	https://falcon.us-gov-2.crowdstrike.com

Utilizza l'URL di base corrispondente alla regione dell'istanza di CrowdStrike Falcon. Il codice della regione (ad esempio us-1, us-2, eu-1) viene utilizzato nella configurazione di Docker.

Esegui il deployment di CrowdStrike Chronicle Intel Bridge

Chronicle Intel Bridge è un container Docker che viene eseguito continuamente per eseguire il polling di CrowdStrike Falcon Intelligence alla ricerca di indicatori e inoltrarli a Google Security Operations.

Imposta le variabili di ambiente

1. Prima di eseguire il container Docker, imposta le seguenti variabili di ambiente con le credenziali che hai raccolto:

   export FALCON_CLIENT_ID="your-client-id"
   export FALCON_CLIENT_SECRET="your-client-secret"
   export FALCON_CLOUD_REGION="your-cloud-region"
   export CHRONICLE_CUSTOMER_ID="your-customer-id"
   export CHRONICLE_REGION="your-chronicle-region"
   

2. Sostituisci i valori segnaposto:

   • your-client-id: l'ID client del client API di CrowdStrike
   • your-client-secret: il client secret del client API di CrowdStrike
   • your-cloud-region: la tua regione cloud CrowdStrike (ad esempio us-1, us-2, eu-1, us-gov-1, us-gov-2)
   • your-customer-id: il tuo ID cliente Google SecOps
   • your-chronicle-region: la tua regione Google SecOps (consulta la configurazione della regione di Chronicle di seguito)

Configurazione della regione Chronicle

La variabile di ambiente CHRONICLE_REGION specifica l'endpoint regionale di Google SecOps da utilizzare. Sono supportati i seguenti valori:

• Codici regione legacy:

  • US (valore predefinito se non specificato)
  • EU
  • UK
  • IL
  • AU
  • SG

• Codici delle regioni Google Cloud:

  • EUROPE
  • EUROPE-WEST2
  • EUROPE-WEST3
  • EUROPE-WEST6
  • EUROPE-WEST9
  • EUROPE-WEST12
  • ME-WEST1
  • ME-CENTRAL1
  • ME-CENTRAL2
  • ASIA-SOUTH1
  • ASIA-SOUTHEAST1
  • ASIA-NORTHEAST1
  • AUSTRALIA-SOUTHEAST1
  • SOUTHAMERICA-EAST1
  • NORTHAMERICA-NORTHEAST2
  Nota: i codici regione non fanno distinzione tra maiuscole e minuscole. Se non viene specificato o se viene fornito un valore non riconosciuto, il valore predefinito è l'endpoint multiregionale degli Stati Uniti.

Esegui il container Docker

Scegli uno dei seguenti metodi di deployment:

• Modalità interattiva (foreground):

  Utilizza questa modalità per i test e la risoluzione dei problemi:

  docker run -it --rm \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

• Modalità scollegata (background con policy di riavvio):

  Utilizza questa modalità per il deployment in produzione:

  docker run -d --restart unless-stopped \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

  Sostituisci /path/to/your/service-account.json con il percorso effettivo del file JSON del account di servizio Google SecOps scaricato in precedenza.

  Nota: il flag --restart unless-stopped assicura che il container venga riavviato automaticamente se si arresta in modo imprevisto o se il daemon Docker viene riavviato.

Verifica il deployment

Dopo aver avviato il container, verifica che gli indicatori vengano inoltrati a Google Security Operations:

1. Controlla i log del container:

   docker logs chronicle-intel-bridge
   

2. Nella console Google SecOps, cerca gli eventi con il tipo di log CROWDSTRIKE_IOC.

3. Verifica che i dati degli indicatori vengano visualizzati nell'istanza Google SecOps.

Configurazione avanzata

Per le opzioni di configurazione avanzate, puoi personalizzare il comportamento di Intel Bridge utilizzando un file di configurazione.

1. Scarica il file config.ini dal repository CrowdStrike Chronicle Intel Bridge.
2. Modifica il file di configurazione in base alle tue esigenze.

3. Monta il file di configurazione nel container utilizzando il flag del volume:

   docker run -d --restart unless-stopped \
     --name chronicle-intel-bridge \
     -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
     -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
     -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
     -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
     -e CHRONICLE_REGION="$CHRONICLE_REGION" \
     -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
     -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
     -v /path/to/your/config.ini:/ccib/config.ini:ro \
     quay.io/crowdstrike/chronicle-intel-bridge:latest
   

Tipi di indicatori supportati

Il parser degli indicatori di compromissione (IoC) di CrowdStrike supporta i seguenti tipi di indicatori:

Tipo di indicatore	Descrizione
domain	Nomi di dominio associati ad attività dannose
email_address	Indirizzi email utilizzati negli attacchi
file_name	Nomi di file dannosi
file_path	Percorsi del file system associati alle minacce
hash_md5	Hash dei file MD5
hash_sha1	Hash dei file SHA-1
hash_sha256	Hash dei file SHA-256
ip_address	Indirizzi IP associati ad attività dannose
mutex_name	Nomi di mutex utilizzati dal malware
url	URL associati alle minacce

Gestisci il container Docker

Utilizza i seguenti comandi Docker per gestire Chronicle Intel Bridge:

• Visualizza lo stato del container:

  docker ps -a | grep chronicle-intel-bridge
  

• Visualizza i log dei container:

  docker logs chronicle-intel-bridge
  

• Segui i log dei container in tempo reale:

  docker logs -f chronicle-intel-bridge
  

• Arresta il container:

  docker stop chronicle-intel-bridge
  

• Avvia il container:

  docker start chronicle-intel-bridge
  

• Riavvia il container:

  docker restart chronicle-intel-bridge
  

• Rimuovi il container:

  docker stop chronicle-intel-bridge
  docker rm chronicle-intel-bridge
  

Risoluzione dei problemi

Se riscontri problemi con Chronicle Intel Bridge:

1. Verifica che le credenziali dell'API CrowdStrike siano corrette e abbiano l'ambito Indicatori (Falcon Intelligence): LETTURA.
2. Verifica che l'ID cliente Google SecOps sia corretto.
3. Verifica che il file JSON del account di servizio Google SecOps sia valido e accessibile al container Docker.
4. Verifica che la regione cloud di CrowdStrike sia corretta (ad esempio us-1, us-2, eu-1).
5. Verifica che la regione di Google SecOps sia corretta.

6. Controlla i log del container per individuare eventuali messaggi di errore:

   docker logs chronicle-intel-bridge
   

7. Verifica la connettività di rete dall'host Docker agli endpoint API CrowdStrike e agli endpoint di importazione di Google SecOps.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
quando	metadata.event_timestamp	Valore copiato direttamente
messageid	metadata.id	Valore copiato direttamente
protocollo	network.ip_protocol	Valore copiato direttamente
deviceName	principal.hostname	Valore copiato direttamente
srcAddr	principal.ip	Valore copiato direttamente
srcPort	principal.port	Valore copiato direttamente
azione	security_result.action	Valore copiato direttamente
dstAddr	target.ip	Valore copiato direttamente
dstPort	target.port	Valore copiato direttamente

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.