Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

CrowdStrike Falcon-Logs erfassen

Parserversion:33.0

In diesem Dokument wird beschrieben, wie Sie CrowdStrike Falcon-Logs in Google Security Operations aufnehmen. Sie können verschiedene Arten von CrowdStrike Falcon-Logs aufnehmen. In diesem Dokument wird die spezifische Konfiguration für jede Art beschrieben.

Eine allgemeine Übersicht über die Datenaufnahme in Google Security Operations finden Sie unter Datenaufnahme in Google Security Operations.

Unterstützte CrowdStrike Falcon-Logtypen

Google Security Operations unterstützt die folgenden CrowdStrike Falcon-Logtypen über die Parser mit den folgenden Aufnahmelabels:

Endpoint Detection and Response (EDR): CS_EDR. Dieser Parser analysiert Telemetriedaten von CrowdStrike Falcon Data Replicator (FDR) nahezu in Echtzeit, z. B. Datei- und Registrierungsänderungen. Daten werden in der Regel aus einem S3- oder Cloud Storage-Bucket aufgenommen.
Erkennungen: CS_DETECTS. Dieser Parser analysiert Ereignisse der Erkennungszusammenfassung von CrowdStrike mithilfe der Detect API. Obwohl CS_DETECTS mit der Endpunktaktivität zusammenhängt, bietet es im Vergleich zu den mit CS_EDR analysierten Rohdaten eine Erkennungszusammenfassung auf höherer Ebene.

Hinweis: CrowdStrike hat den Endpunkt „Detects“ eingestellt. Wir empfehlen, stattdessen CS_ALERTS zu verwenden, um Erkennungslogs aufzunehmen.
Warnungen: CS_ALERTS. Dieser Parser analysiert Warnungen von CrowdStrike mithilfe der Alerts API. Der CrowdStrike Alerts-Parser unterstützt die folgenden Produkttypen:
- epp
- idp
- overwatch
- xdr
- mobile
- cwpp
- ngsiem
Kompromittierungsindikatoren (Indicators of Compromise, IoC): CS_IOC. Dieser Parser analysiert IoCs und Angriffsindikatoren (Indicators of Attack, IoAs) aus CrowdStrike Threat Intelligence mithilfe der CrowdStrike Chronicle Intel Bridge. Der CrowdStrike Kompromittierungsindikator (IoC)-Parser unterstützt die folgenden Indikatortypen:
- domain
- email_address
- file_name
- file_path
- hash_md5
- hash_sha1
- hash_sha256
- ip_address
- mutex_name
- url

Google SecOps empfiehlt, Feeds für CS_EDR, CS_DETECTS und CS_IOC zu verwenden, um umfassende Daten von CrowdStrike aufzunehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Administratorrechte für die CrowdStrike-Instanz, um den CrowdStrike Falcon Host-Sensor zu installieren
Alle Systeme in der Bereitstellungsarchitektur sind in der Zeitzone UTC konfiguriert.
Das Zielgerät verwendet ein unterstütztes Betriebssystem.
- Muss ein 64-Bit-Server sein
- Microsoft Windows Server 2008 R2 SP1 wird für den CrowdStrike Falcon Host-Sensor ab Version 6.51 unterstützt.
- Ältere Betriebssystemversionen müssen die SHA-2-Codesignierung unterstützen.
Google SecOps-Dienstkontodatei und Ihre Kundennummer vom Google SecOps-Supportteam

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds auf der Google SecOps-Plattform:

SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
Content Hub > Content-Pakete > Loslegen

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

CrowdStrike Falcon-Logs aufnehmen

In diesem Abschnitt wird beschrieben, wie Sie die Aufnahme für die verschiedenen Arten von CrowdStrike Falcon-Logs konfigurieren.

EDR-Logs aufnehmen (`CS_EDR`)

Sie können CrowdStrike Falcon EDR-Logs mit einer der folgenden Methoden aufnehmen, je nachdem, wohin Sie die Logs von CrowdStrike senden möchten:

Amazon SQS: Mit einem Falcon Data Replicator-Feed.
Amazon S3: Mit einem Google Security Operations-Feed, der für einen S3-Bucket konfiguriert ist.
Google Cloud Storage: Indem Sie CrowdStrike Logs an einen Cloud Storage-Bucket senden lassen.

Wählen Sie eine der folgenden Vorgehensweisen aus.

Option 1: EDR-Logs von Amazon SQS aufnehmen

Bei dieser Methode werden EDR-Logs mit dem CrowdStrike Falcon Data Replicator an eine Amazon SQS-Warteschlange gesendet, die dann von Google Security Operations abgefragt wird.

Klicken Sie auf das Paket CrowdStrike.
Geben Sie für den Logtyp CrowdStrike Falcon Werte für die folgenden Felder an:
- Quelle: Amazon SQS
- Region: Die S3-Region, die mit dem URI verknüpft ist.
- Warteschlangenname: Name der SQS-Warteschlange, aus der Logdaten gelesen werden sollen.
- S3-URI: Der Quell-URI des S3-Buckets.
- Kontonummer: Die SQS-Kontonummer.
- Zugriffsschlüssel-ID für die Warteschlange: 20-stellige Zugriffsschlüssel-ID für das Konto. Beispiel: AKIAOSFOODNN7EXAMPLE.
- Geheimer Zugriffsschlüssel für die Warteschlange: 40-stelliger geheimer Zugriffsschlüssel. Beispiel: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
- Option zum Löschen der Quelle: Option zum Löschen von Dateien und Verzeichnissen nach der Datenübertragung.
Erweiterte Optionen
- Feedname: Ein vorab ausgefüllter Wert, der den Feed identifiziert.
- Asset-Namespace: Namespace, der mit dem Feed verknüpft ist.
- Aufnahmelabels : Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Option 2: EDR-Logs aus einem Amazon S3-Bucket aufnehmen

Bei dieser Methode wird ein Google Security Operations-Feed eingerichtet, um EDR-Logs direkt aus einem Amazon S3-Bucket abzurufen.

So richten Sie einen Aufnahmefeed mit einem S3-Bucket ein:

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Crowdstrike Falcon-Logs.
Wählen Sie unter Quelltyp die Option Amazon S3 aus.
Wählen Sie unter Logtyp die Option CrowdStrike Falcon aus.

Geben Sie basierend auf dem von Ihnen erstellten Dienstkonto und der Amazon S3-Bucket-Konfiguration Werte für die folgenden Felder an:

Feld	Beschreibung
`region`	S3-Region-URI.
`S3 uri`	Quell-URI des S3-Buckets.
`uri is a`	Typ des Objekts, auf das der URI verweist (z. B. Datei oder Ordner).
`source deletion option`	Option zum Löschen von Dateien und Verzeichnissen nach der Datenübertragung.
`access key id`	Zugriffsschlüssel (20-stelliger alphanumerischer String). Beispiel: `AKIAOSFOODNN7EXAMPLE`.
`secret access key`	Geheimer Zugriffsschlüssel (40-stelliger alphanumerischer String). Beispiel: `wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY`.
`oauth client id`	Öffentliche OAuth-Client-ID.
`oauth client secret`	OAuth 2.0-Clientschlüssel.
`oauth secret refresh uri`	OAuth 2.0-Clientschlüssel-Aktualisierungs-URI.
`asset namespace`	Namespace, der mit dem Feed verknüpft ist.

Klicken Sie auf Weiter und dann auf Senden.

Option 3: EDR-Logs aus Cloud Storage aufnehmen

Sie können CrowdStrike so konfigurieren, dass EDR-Logs an einen Cloud Storage-Bucket gesendet werden. Anschließend können Sie diese Logs mit einem Feed in Google Security Operations aufnehmen. Für diesen Vorgang ist eine Abstimmung mit dem CrowdStrike-Support erforderlich.

CrowdStrike-Support kontaktieren:Eröffnen Sie ein Supportticket bei CrowdStrike, um das Senden von EDR-Logs an Ihren Cloud Storage-Bucket zu aktivieren und zu konfigurieren. Sie erhalten dann Informationen zu den erforderlichen Konfigurationen.
Cloud Storage-Bucket erstellen und Berechtigungen zuweisen :
1. Erstellen Sie in der Google Cloud Console einen neuen Cloud Storage-Bucket. Notieren Sie sich den Bucket-Namen, z. B. gs://my-crowdstrike-edr-logs/.
2. Gewähren Sie dem von CrowdStrike bereitgestellten Dienstkonto Schreibberechtigungen. Folgen Sie der Anleitung des CrowdStrike-Supports.
Google SecOps-Feed konfigurieren :
1. Rufen Sie in Ihrer Google SecOps-Instanz Einstellungen > Feeds auf und klicken Sie auf Neu hinzufügen.
2. Geben Sie einen aussagekräftigen Feednamen ein, z. B. CS-EDR-GCS.
3. Wählen Sie unter Quelltyp die Option Google Cloud Storage V2 aus.
  
  Hinweis: Sie können Google Cloud Storage Event Driven V2 als Quelltyp verwenden, um die Latenz zu minimieren.
  Hinweis: Richten Sie für ereignisgesteuerte Cloud Storage-Feedtypen ein Pub/Sub-Abo für Cloud Storage ein, wie unter Pub/Sub konfigurieren beschrieben.
4. Wählen Sie unter Logtyp die Option CrowdStrike Falcon aus.
5. Klicken Sie im Abschnitt „Dienstkonto“ auf Dienstkonto abrufen. Kopieren Sie die eindeutige E-Mail-Adresse des Dienstkontos.
6. Rufen Sie in der Google Cloud Console Ihren Cloud Storage-Bucket auf und gewähren Sie der kopierten E-Mail-Adresse des Dienstkontos die Storage Object Viewer IAM-Rolle. Dadurch kann der Feed die Logdateien lesen.
7. Kehren Sie zur Konfigurationsseite des Google SecOps-Feeds zurück.
8. Geben Sie die Storage-Bucket-URL ein, z. B. gs://my-crowdstrike-edr-logs/. Diese URL muss mit einem nachgestellten Schrägstrich (/) enden.
9. Geben Sie für ereignisgesteuerte Feedtypen den Namen des Pub/Sub-Abos an, z. B. projects/myproject/subscriptions/crowdstrike-edr-sub.
10. Wählen Sie eine Option zum Löschen der Quelle aus. Wir empfehlen, Dateien nie löschen auszuwählen.
11. Klicken Sie auf Weiter, prüfen Sie die Einstellungen und klicken Sie dann auf Senden.
Logaufnahme prüfen:Nachdem CrowdStrike bestätigt hat, dass Logs gesendet werden, suchen Sie in Google SecOps nach eingehenden Logs mit dem Logtyp CS_EDR.

Warnungslogs aufnehmen (`CS_ALERTS`)

Um CrowdStrike Falcon-Warnungen aufzunehmen, konfigurieren Sie einen Feed, der die CrowdStrike API verwendet.

In der CrowdStrike Falcon Console :
1. Melden Sie sich in der CrowdStrike Falcon Console an.
2. Rufen Sie Support und Ressourcen > Ressourcen und Tools > API-Clients und -Schlüssel auf und klicken Sie auf API-Client erstellen.
3. Geben Sie einen Clientnamen und eine Beschreibung ein.
4. Wählen Sie unter API-Bereiche das Kästchen Lesen für Warnungen aus.
5. Klicken Sie auf Erstellen. Notieren Sie sich die generierte Client-ID, den Clientschlüssel und die Basis-URL.
In Google Security Operations :
1. Rufen Sie Einstellungen > Feeds auf und klicken Sie auf Neu hinzufügen.
2. Wählen Sie unter Quelltyp die Option Drittanbieter-API aus.
3. Wählen Sie unter Logtyp die Option CrowdStrike Alerts API aus.
4. Klicken Sie auf Weiter und füllen Sie die folgenden Felder mit den Werten aus dem CrowdStrike API-Client aus:
  - OAuth-Token-Endpunkt: Beispiel: https://api.us-2.crowdstrike.com/oauth2/token.
  - OAuth-Client-ID
  - OAuth-Clientschlüssel
  - Basis-URL: Beispiel: api.us-2.crowdstrike.com.
  - Aufnahmetyp: Wählen Sie eine der folgenden Optionen aus:
    - Alle Warnungen abrufen: Nimmt sowohl neue als auch aktualisierte vorhandene Warnungen auf.
    - Nur neue Warnungen abrufen: Nimmt nur neue Warnungen auf.
  Hinweis: Ihr Token-Endpunkt enthält möglicherweise nicht "us-2" in der URL. Das hängt von Ihrer CrowdStrike-Region ab. Verwenden Sie die richtige Basis-URL aus der CrowdStrike-Konsole.
5. Klicken Sie auf Weiter und dann auf Senden.

Erkennungslogs aufnehmen (`CS_DETECTS`)

Um CrowdStrike Falcon-Erkennungslogs aufzunehmen, verwenden Sie ebenfalls die CrowdStrike API.

In der CrowdStrike Falcon Console :
1. Melden Sie sich in der CrowdStrike Falcon Console an.
2. Rufen Sie Support-Apps > API-Clients und -Schlüssel auf.
3. Erstellen Sie ein neues API-Clientschlüsselpaar. Dieses Schlüsselpaar muss READ-Berechtigungen für Detections haben.
In Google Security Operations :
1. Rufen Sie Einstellungen > Feeds auf und klicken Sie auf Neu hinzufügen.
2. Wählen Sie unter Quelltyp die Option Drittanbieter-API aus.
3. Wählen Sie unter Logtyp die Option CrowdStrike Detection Monitoring aus.
4. Klicken Sie auf Weiter und dann auf Senden. Sie werden aufgefordert, die von Ihnen erstellten API-Anmeldedaten einzugeben.

IoC-Logs aufnehmen (`CS_IOC`)

Um Kompromittierungsindikator-Logs (IoC-Logs) von CrowdStrike aufzunehmen, verwenden Sie die Google SecOps Intel Bridge.

Erstellen Sie in der CrowdStrike Falcon Console ein neues API-Clientschlüsselpaar. Dieses Schlüsselpaar muss die Berechtigung READ für Indicators (Falcon Intelligence) haben.
Richten Sie die Google SecOps Intel Bridge ein. Folgen Sie dazu der Anleitung unter CrowdStrike to Google SecOps Intel Bridge.

Führen Sie die folgenden Docker-Befehle aus, um die Logs von CrowdStrike an Google SecOps zu senden. sa.json ist Ihre Google SecOps-Dienstkontodatei.

docker build . -t ccib:latest
docker run -it --rm \
      -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
      -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
      -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
      -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
      -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
      -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
      ccib:latest

Nachdem der Container ausgeführt wurde, werden IoC-Logs in Google SecOps gestreamt.

Wenn bei einer dieser Konfigurationen Probleme auftreten, wenden Sie sich an das Google SecOps-Supportteam.

Unterstützte CrowdStrike-Logformate

Der CrowdStrike-Parser unterstützt Logs im JSON-Format.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten