Recoger registros de CrowdStrike Falcon

En este documento se describe cómo ingerir registros de CrowdStrike Falcon en Google Security Operations. Puedes ingerir varios tipos de registros de CrowdStrike Falcon. En este documento se describe la configuración específica de cada uno.

Para obtener una descripción general de alto nivel de la ingestión de datos en Google Security Operations, consulta el artículo Ingestión de datos en Google Security Operations.

Tipos de registros de CrowdStrike Falcon admitidos

Google Security Operations admite los siguientes tipos de registros de CrowdStrike Falcon a través de los analizadores con las siguientes etiquetas de ingestión:

• Detección y respuesta de endpoints (EDR): CS_EDR. Este analizador analiza datos de telemetría casi en tiempo real de CrowdStrike Falcon Data Replicator (FDR), como el acceso a archivos y las modificaciones del registro. Los datos se suelen ingerir desde un segmento de S3 o de Cloud Storage.

• Detecciones: CS_DETECTS. Este analizador analiza los eventos de resumen de detección de CrowdStrike mediante la API Detect. Aunque está relacionada con la actividad de los endpoints, CS_DETECTS proporciona resúmenes de detección de nivel superior en comparación con la telemetría sin procesar analizada mediante CS_EDR.

  Nota: CrowdStrike ha retirado el endpoint "Detects". Te recomendamos que uses CS_ALERTS para ingerir los registros de detección.

• Alertas: CS_ALERTS. Este analizador analiza las alertas de CrowdStrike mediante la API Alerts. El analizador de alertas de CrowdStrike admite los siguientes tipos de productos:

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem

• Indicadores de compromiso (IoC): CS_IOC. Este analizador analiza los IoCs y los indicadores de ataque (IoAs) de la información sobre amenazas de CrowdStrike mediante el puente de información de CrowdStrike Chronicle. El analizador de indicadores de compromiso (IoC) de CrowdStrike admite los siguientes tipos de indicadores:

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps recomienda usar feeds de CS_EDR, CS_DETECTS y CS_IOC para ingerir datos de CrowdStrike de forma exhaustiva.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Derechos de administrador en la instancia de CrowdStrike para instalar el sensor de host de CrowdStrike Falcon
• Todos los sistemas de la arquitectura de la implementación están configurados en la zona horaria UTC.
• El dispositivo de destino tiene un sistema operativo compatible
  • Debe ser un servidor de 64 bits
  • Microsoft Windows Server 2008 R2 SP1 es compatible con la versión 6.51 o posterior del sensor de host de CrowdStrike Falcon.
  • Las versiones antiguas del SO deben admitir la firma de código SHA-2.
• El archivo de cuenta de servicio de Google SecOps y tu ID de cliente del equipo de Asistencia de Google SecOps

Configurar feeds

Hay dos puntos de entrada diferentes para configurar feeds en la plataforma Google SecOps:

• Configuración de SIEM > Feeds > Añadir nuevo feed
• Centro de contenido > Paquetes de contenido > Empezar

Nota: El centro de contenido no está disponible en la plataforma independiente de SIEM. Para cambiar a un plan superior, ponte en contacto con tu representante de Google SecOps.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulte el artículo Configurar feeds por producto.

Ingerir registros de CrowdStrike Falcon

En esta sección se describe cómo configurar la ingesta de los diferentes tipos de registros de CrowdStrike Falcon.

Ingerir registros de EDR (CS_EDR)

Puedes ingerir registros de CrowdStrike Falcon EDR con uno de los siguientes métodos, en función de dónde quieras enviar los registros de CrowdStrike:

• Amazon SQS: usando un feed de Falcon Data Replicator.
• Amazon S3: se usa un feed de Google Security Operations configurado para un segmento de S3.
• Google Cloud Storage: CrowdStrike envía los registros a un segmento de Cloud Storage.

Elige uno de los siguientes procedimientos.

Opción 1: Ingesta de registros de EDR desde Amazon SQS

Este método usa CrowdStrike Falcon Data Replicator para enviar registros de EDR a una cola de Amazon SQS, que Google Security Operations sondea.

1. Haz clic en el paquete CrowdStrike.

2. En el tipo de registro CrowdStrike Falcon, especifique los valores de los siguientes campos:

   • Fuente: Amazon SQS
   • Región: la región de S3 asociada al URI.
   • Nombre de la cola: nombre de la cola de SQS de la que se leerán los datos de registro.
   • URI de S3: el URI de origen del segmento de S3.
   • Número de cuenta: el número de cuenta de SQS.
   • ID de clave de acceso a la cola: ID de clave de acceso a la cuenta de 20 caracteres. Por ejemplo, AKIAOSFOODNN7EXAMPLE.
   • Clave de acceso secreta de la cola: clave de acceso secreta de 40 caracteres. Por ejemplo, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   • Opción de eliminación de la fuente: opción para eliminar archivos y directorios después de transferir los datos.

   Opciones avanzadas

   • Nombre del feed: valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres de recursos: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

3. Haga clic en Crear feed.

Nota: El centro de contenido no está disponible en la plataforma independiente de SIEM. Para cambiar a un plan superior, ponte en contacto con tu representante de Google SecOps.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulte el artículo Configurar feeds por producto.

Opción 2: Ingesta de registros de EDR desde un segmento de Amazon S3

Este método consiste en configurar un feed de Google Security Operations para extraer registros de EDR directamente de un segmento de Amazon S3.

Para configurar un feed de ingestión mediante un contenedor de S3, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En la página siguiente, haga clic en Configurar un solo feed.
4. En el campo Nombre del feed, escriba un nombre para el feed; por ejemplo, Registros de Crowdstrike Falcon.
5. En Tipo de fuente, selecciona Amazon S3.
6. En Tipo de registro, selecciona CrowdStrike Falcon.
7. En función de la cuenta de servicio y de la configuración del segmento de Amazon S3 que hayas creado, especifica los valores de los siguientes campos:

   Campo	Descripción
   region	URI de la región de S3.
   S3 uri	URI de origen del segmento de S3.
   uri is a	Tipo de objeto al que apunta el URI (por ejemplo, archivo o carpeta).
   source deletion option	Opción para eliminar archivos y directorios después de transferir los datos.
   access key id	Clave de acceso (cadena alfanumérica de 20 caracteres). Por ejemplo, AKIAOSFOODNN7EXAMPLE.
   secret access key	Clave de acceso secreta (cadena alfanumérica de 40 caracteres). Por ejemplo, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	ID de cliente de OAuth público.
   oauth client secret	Secreto de cliente de OAuth 2.0.
   oauth secret refresh uri	URI de actualización del secreto de cliente de OAuth 2.0.
   asset namespace	Espacio de nombres asociado al feed.

8. Haz clic en Siguiente y, a continuación, en Enviar.

Opción 3: Ingerir registros de EDR de Cloud Storage

Puedes configurar CrowdStrike para que envíe registros de EDR a un segmento de Cloud Storage y, a continuación, ingiéralos en Google Security Operations mediante un feed. Este proceso requiere la coordinación con el equipo de Asistencia de CrowdStrike.

1. Ponte en contacto con el equipo de Asistencia de CrowdStrike: abre una incidencia con CrowdStrike para habilitar y configurar el envío de registros de EDR a tu segmento de Cloud Storage. Te indicarán las configuraciones necesarias.

2. Crea y asigna permisos al segmento de Cloud Storage:

   1. En la Google Cloud consola, crea un segmento de Cloud Storage. Anota el nombre del contenedor (por ejemplo, gs://my-crowdstrike-edr-logs/).
   2. Concede permisos de escritura a la cuenta de servicio proporcionada por CrowdStrike. Sigue las instrucciones del equipo de Asistencia de CrowdStrike.

3. Configura el feed de Google SecOps:

   1. En tu instancia de Google SecOps, ve a Settings > Feeds (Configuración > Feeds) y haz clic en Add New (Añadir nuevo).
   2. Introduzca un nombre del feed descriptivo (por ejemplo, CS-EDR-GCS).
   3. En Tipo de fuente, selecciona Google Cloud Storage V2.
   4. En Tipo de registro, selecciona CrowdStrike Falcon.
   5. En la sección de la cuenta de servicio, haz clic en Obtener cuenta de servicio. Copia la dirección de correo única de la cuenta de servicio que se muestra.
   6. En la Google Cloud consolaStorage Object Viewer, ve a tu segmento de Cloud Storage y concede el rol de Storage Object ViewerIAM a la dirección de correo de la cuenta de servicio que has copiado. De esta forma, el feed puede leer los archivos de registro.
   7. Vuelve a la página de configuración de feeds de Google SecOps.
   8. Introduce la URL del segmento de almacenamiento (por ejemplo, gs://my-crowdstrike-edr-logs/). Esta URL debe terminar con una barra inclinada (/).
   9. Seleccione una opción de eliminación de la fuente. Se recomienda seleccionar No eliminar archivos nunca.
   10. Haga clic en Siguiente, revise los ajustes y, a continuación, haga clic en Enviar.

4. Verifica la ingesta de registros: después de que CrowdStrike confirme que se están enviando registros, comprueba si hay registros entrantes en Google SecOps con el tipo de registro CROWDSTRIKE_EDR.

Ingerir registros de alertas (CS_ALERTS)

Para ingerir alertas de CrowdStrike Falcon, configura un feed que use la API de CrowdStrike.

1. En la consola de CrowdStrike Falcon:

   1. Inicia sesión en la consola de CrowdStrike Falcon.
   2. Vaya a Asistencia y recursos > Recursos y herramientas > Clientes y claves de API y haga clic en Crear cliente de API.
   3. Escriba un nombre de cliente y una descripción.
   4. En Ámbitos de la API, selecciona las casillas Lectura y Escritura de Alertas.
   5. Haz clic en Crear. Anota el ID de cliente, el secreto de cliente y la URL base generados.

2. En Google Security Operations:

   1. Ve a Configuración > Feeds y haz clic en Añadir nuevo.
   2. Seleccione API de terceros en Tipo de fuente.
   3. Seleccione API de alertas de CrowdStrike en Tipo de registro.
   4. Haz clic en Siguiente y rellena los siguientes campos con los valores del cliente de la API de CrowdStrike:
      • Endpoint de token de OAuth
      • ID de cliente de OAuth
      • Secreto de cliente de OAuth
      • URL base
   5. Haz clic en Siguiente y, a continuación, en Enviar.

Ingerir registros de detecciones (CS_DETECTS)

Nota: CrowdStrike ha retirado el endpoint "Detects". Te recomendamos que uses CS_ALERTS para ingerir los registros de detección.

Para ingerir los registros de detección de CrowdStrike Falcon, también se usa la API de CrowdStrike.

1. En la consola de CrowdStrike Falcon:

   1. Inicia sesión en la consola de CrowdStrike Falcon.
   2. Ve a Aplicaciones de asistencia > Clientes y claves de API.
   3. Crea un nuevo par de claves de cliente de API. Este par de claves debe tener permisos de READ para Detections.

2. En Google Security Operations:

   1. Ve a Configuración > Feeds y haz clic en Añadir nuevo.
   2. Seleccione API de terceros en Tipo de fuente.
   3. Seleccione CrowdStrike Detection Monitoring en Log type (Tipo de registro).
   4. Haz clic en Siguiente y, a continuación, en Enviar. Se te pedirán las credenciales de la API que has creado.

Ingerir registros de IoC (CS_IOC)

Para ingerir registros de indicadores de riesgo (IoCs) de CrowdStrike, utiliza Google SecOps Intel Bridge.

1. En la consola de CrowdStrike Falcon, crea un nuevo par de claves de cliente de API. Este par de claves debe tener permiso READ para Indicators (Falcon Intelligence).
2. Configura Google SecOps Intel Bridge siguiendo las instrucciones de CrowdStrike to Google SecOps Intel Bridge.

3. Ejecuta los siguientes comandos de Docker para enviar los registros de CrowdStrike a Google SecOps. sa.json es el archivo de tu cuenta de servicio de Google SecOps.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. Una vez que el contenedor esté en funcionamiento, los registros de IoC empezarán a enviarse a Google SecOps.

Si tienes problemas con alguna de estas configuraciones, ponte en contacto con el equipo de Asistencia de SecOps de Google.

Formatos de registro de CrowdStrike admitidos

El analizador de CrowdStrike admite registros en formato JSON.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.