Crowdstrike IOC のログを収集する

パーサーのバージョン: 3.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、CrowdStrike Chronicle Intel Bridge を使用して CrowdStrike IOC ログを収集する方法について説明します。CrowdStrike Chronicle Intel Bridge は、CrowdStrike Falcon Intelligence から Google Security Operations に脅威インテリジェンス インジケーターを転送する Docker コンテナです。

CrowdStrike Falcon Intelligence は、ドメイン、IP アドレス、ファイルハッシュ、URL、メールアドレス、ファイルパス、ファイル名、ミューテックス名などの脅威インテリジェンス インジケーターを提供します。Chronicle Intel Bridge は、CrowdStrike Intel API をポーリングし、これらのインジケーターを Google Security Operations に転送して、脅威の検出と分析を行います。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• API クライアントを作成する権限を持つ CrowdStrike Falcon コンソールへの特権アクセス
• CrowdStrike Falcon Intelligence サブスクリプション
• CrowdStrike をポーリングしてインジケーターを転送するために継続的に実行できるシステムにインストールされた Docker
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンに構成されている

Google SecOps の認証情報を取得する

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Google SecOps サービス アカウント ファイルをダウンロードする

1. Google SecOps コンソールにログインします。
2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
3. [取り込み認証ファイルをダウンロード] をクリックします。
4. Docker コンテナを実行するシステム上の安全な場所（/path/to/service-account.json など）に JSON ファイルを保存します。

CrowdStrike Falcon API アクセスを構成する

Chronicle Intel Bridge でインジケーターを取得できるようにするには、Falcon Intelligence Indicators の読み取り権限を持つ API クライアントを作成する必要があります。

API クライアントを作成する

1. CrowdStrike Falcon コンソールにログインします。
2. [サポートとリソース] > [リソースとツール] > [API クライアントとキー] に移動します。
3. [新しい API クライアントを追加] をクリックします。
4. 次の構成情報を指定します。
   • クライアント名: わかりやすい名前を入力します（例: Chronicle Intel Bridge）。
   • 説明: 省略可。「Integration with Google Chronicle for threat intelligence indicators」と入力します。
5. [API scopes] セクションで、[Indicators (Falcon Intelligence)] の横にある [Read] チェックボックスをオンにします。
6. [作成] をクリックします。

API 認証情報を記録する

• API クライアントを作成すると、認証情報を表示するダイアログが表示されます。

  • クライアント ID: 固有のクライアント ID（例: a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6）
  • Client Secret: API シークレット キー
  • ベース URL: リージョンの完全修飾ドメイン名（例: api.us-2.crowdstrike.com）
  重要: クライアント シークレットをすぐにコピーして保存してください。このダイアログを閉じると、取得できなくなります。
  注: ベース URL は、CrowdStrike クラウド リージョンによって異なります。ダイアログに表示される正しいベース URL を使用します。

リージョン エンドポイント

CrowdStrike Falcon は、クラウド リージョンに応じて異なる API エンドポイントを使用します。

リージョン	ベース URL	コンソール URL
US-1	api.crowdstrike.com	https://falcon.crowdstrike.com
US-2	api.us-2.crowdstrike.com	https://falcon.us-2.crowdstrike.com
EU-1	api.eu-1.crowdstrike.com	https://falcon.eu-1.crowdstrike.com
US-GOV-1	api.laggar.gcw.crowdstrike.com	https://falcon.laggar.gcw.crowdstrike.com
US-GOV-2	api.us-gov-2.crowdstrike.com	https://falcon.us-gov-2.crowdstrike.com

CrowdStrike Falcon インスタンスのリージョンに対応するベース URL を使用します。us-1、us-2、eu-1 などのリージョン コードは、Docker 構成で使用されます。

CrowdStrike Chronicle Intel Bridge をデプロイする

Chronicle Intel Bridge は、CrowdStrike Falcon Intelligence を継続的にポーリングしてインジケーターを取得し、Google Security Operations に転送する Docker コンテナです。

環境変数を設定する

1. Docker コンテナを実行する前に、収集した認証情報を使用して次の環境変数を設定します。

   export FALCON_CLIENT_ID="your-client-id"
   export FALCON_CLIENT_SECRET="your-client-secret"
   export FALCON_CLOUD_REGION="your-cloud-region"
   export CHRONICLE_CUSTOMER_ID="your-customer-id"
   export CHRONICLE_REGION="your-chronicle-region"
   

2. プレースホルダの値を置き換えます。

   • your-client-id: CrowdStrike API クライアントのクライアント ID
   • your-client-secret: CrowdStrike API クライアントのクライアント シークレット
   • your-cloud-region: CrowdStrike クラウド リージョン（例: us-1、us-2、eu-1、us-gov-1、us-gov-2）
   • your-customer-id: Google SecOps のお客様 ID
   • your-chronicle-region: Google SecOps リージョン（以下の Chronicle リージョン構成を参照）

Chronicle リージョン構成

CHRONICLE_REGION 環境変数は、使用する Google SecOps リージョン エンドポイントを指定します。次の値を使用できます。

• 以前のリージョン コード:

  • US（指定されていない場合のデフォルト）
  • EU
  • UK
  • IL
  • AU
  • SG

• Google Cloud リージョン コード:

  • EUROPE
  • EUROPE-WEST2
  • EUROPE-WEST3
  • EUROPE-WEST6
  • EUROPE-WEST9
  • EUROPE-WEST12
  • ME-WEST1
  • ME-CENTRAL1
  • ME-CENTRAL2
  • ASIA-SOUTH1
  • ASIA-SOUTHEAST1
  • ASIA-NORTHEAST1
  • AUSTRALIA-SOUTHEAST1
  • SOUTHAMERICA-EAST1
  • NORTHAMERICA-NORTHEAST2
  注: 地域コードでは大文字と小文字が区別されません。指定されていない場合、または認識されない値が指定されている場合は、デフォルトで米国のマルチリージョン エンドポイントが使用されます。

Docker コンテナを実行する

次のいずれかのデプロイ方法を選択します。

• インタラクティブ モード（フォアグラウンド）:

  このモードは、テストとトラブルシューティングに使用します。

  docker run -it --rm \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

• デタッチ モード（再起動ポリシーを使用したバックグラウンド）:

  本番環境のデプロイには、次のモードを使用します。

  docker run -d --restart unless-stopped \
    --name chronicle-intel-bridge \
    -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
    -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
    -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
    -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
    -e CHRONICLE_REGION="$CHRONICLE_REGION" \
    -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
    -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
    quay.io/crowdstrike/chronicle-intel-bridge:latest
  

  /path/to/your/service-account.json は、先ほどダウンロードした Google SecOps サービス アカウントの JSON ファイルの実際のパスに置き換えます。

  注: --restart unless-stopped フラグを使用すると、コンテナが予期せず停止した場合や Docker デーモンが再起動した場合に、コンテナが自動的に再起動されます。

デプロイを確認する

コンテナを起動したら、インジケーターが Google Security Operations に転送されていることを確認します。

1. コンテナログを確認します。

   docker logs chronicle-intel-bridge
   

2. Google SecOps コンソールで、ログタイプ CROWDSTRIKE_IOC のイベントを検索します。

3. インジケーター データが Google SecOps インスタンスに表示されていることを確認します。

詳細構成

高度な構成オプションでは、構成ファイルを使用して Intel Bridge の動作をカスタマイズできます。

1. CrowdStrike Chronicle Intel Bridge リポジトリから config.ini ファイルをダウンロードします。
2. 要件に応じて構成ファイルを変更します。

3. volume フラグを使用して、構成ファイルをコンテナにマウントします。

   docker run -d --restart unless-stopped \
     --name chronicle-intel-bridge \
     -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID" \
     -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET" \
     -e FALCON_CLOUD_REGION="$FALCON_CLOUD_REGION" \
     -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID" \
     -e CHRONICLE_REGION="$CHRONICLE_REGION" \
     -e GOOGLE_SERVICE_ACCOUNT_FILE=/gcloud/sa.json \
     -v /path/to/your/service-account.json:/gcloud/sa.json:ro \
     -v /path/to/your/config.ini:/ccib/config.ini:ro \
     quay.io/crowdstrike/chronicle-intel-bridge:latest
   

サポートされているインジケーター タイプ

CrowdStrike セキュリティ侵害インジケーター（IoC）パーサーは、次のインジケーター タイプをサポートしています。

インジケーター タイプ	説明
domain	悪意のあるアクティビティに関連付けられたドメイン名
email_address	攻撃で使用されたメールアドレス
file_name	悪意のあるファイル名
file_path	脅威に関連するファイル システムのパス
hash_md5	MD5 ファイル ハッシュ
hash_sha1	SHA-1 ファイル ハッシュ
hash_sha256	SHA-256 ファイル ハッシュ
ip_address	悪意のあるアクティビティに関連付けられた IP アドレス
mutex_name	マルウェアが使用するミューテックス名
url	脅威に関連付けられた URL

Docker コンテナを管理する

次の Docker コマンドを使用して、Chronicle Intel Bridge を管理します。

• コンテナのステータスを表示する:

  docker ps -a | grep chronicle-intel-bridge
  

• コンテナのログを表示する:

  docker logs chronicle-intel-bridge
  

• コンテナログをリアルタイムで追跡する:

  docker logs -f chronicle-intel-bridge
  

• コンテナを停止します。

  docker stop chronicle-intel-bridge
  

• コンテナを起動します。

  docker start chronicle-intel-bridge
  

• コンテナを再起動します。

  docker restart chronicle-intel-bridge
  

• コンテナを削除します。

  docker stop chronicle-intel-bridge
  docker rm chronicle-intel-bridge
  

トラブルシューティング

Chronicle Intel Bridge で問題が発生した場合:

1. CrowdStrike API 認証情報が正しく、Indicators (Falcon Intelligence): READ スコープがあることを確認します。
2. Google SecOps のお客様 ID が正しいことを確認します。
3. Google SecOps サービス アカウントの JSON ファイルが有効で、Docker コンテナからアクセスできることを確認します。
4. CrowdStrike のクラウド リージョンが正しいことを確認します（例: us-1、us-2、eu-1）。
5. Google SecOps のリージョンが正しいことを確認します。

6. コンテナログでエラー メッセージを確認します。

   docker logs chronicle-intel-bridge
   

7. Docker ホストから CrowdStrike API エンドポイントと Google SecOps 取り込みエンドポイントの両方へのネットワーク接続を確認します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
when	metadata.event_timestamp	値が直接コピーされる
messageid	metadata.id	値が直接コピーされる
プロトコル	network.ip_protocol	値が直接コピーされる
deviceName	principal.hostname	値が直接コピーされる
srcAddr	principal.ip	値が直接コピーされる
srcPort	principal.port	値が直接コピーされる
アクション	security_result.action	値が直接コピーされる
dstAddr	target.ip	値が直接コピーされる
dstPort	target.port	値が直接コピーされる

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。