CrowdStrike Falcon in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie CrowdStrike Falcon in Google Security Operations einbinden.

Diese Integration verwendet eine oder mehrere Open-Source-Komponenten. Sie können eine Kopie des vollständigen Quellcodes dieser Integration aus dem Cloud Storage-Bucket herunterladen.

Anwendungsfälle

In der Google SecOps-Plattform löst die CrowdStrike Falcon-Integration die folgenden Anwendungsfälle:

• Automatische Malware-Eindämmung: Nutzen Sie die Funktionen der Google SecOps-Plattform, um den betroffenen Endpunkt automatisch unter Quarantäne zu stellen, den Datei-Hash für weitere Analysen abzurufen und die Verbreitung von Malware zu verhindern. Die automatisierte Malware-Eindämmung wird aktiviert, wenn eine Phishing-E-Mail eine CrowdStrike Falcon-Benachrichtigung für einen verdächtigen Dateidownload auslöst.

• Beschleunigte Incident Response: Mit Google SecOps können Sie Kontextdaten wie Prozessbäume und Netzwerkverbindungen erfassen, den kompromittierten Host isolieren und ein Ticket für die Untersuchung erstellen.

• Bedrohungssuche und ‑untersuchung: Verwenden Sie die Funktionen der Google SecOps-Plattform, um CrowdStrike Falcon nach bestimmten Nutzeraktionen, Dateiänderungen und Netzwerkverbindungen über einen definierten Zeitraum abzufragen. Mit der Bedrohungssuche und ‑untersuchung können Ihre Sicherheitsanalysten eine potenzielle Insiderbedrohung untersuchen und historische Endpunktaktivitäten analysieren, während der Untersuchungsprozess optimiert wird.

• Reaktion auf Phishing und Abhilfe: Verwenden Sie CrowdStrike Falcon und die Google SecOps-Plattform, um E-Mail-Anhänge zu scannen, sie in einer Sandbox-Umgebung zu öffnen und die E-Mail-Adresse des Absenders automatisch zu blockieren, wenn schädliche Aktivitäten erkannt werden.

• Verwaltung von Sicherheitslücken: Mit den Funktionen der Google SecOps-Plattform können Sie automatisch Tickets für jedes anfällige System erstellen, sie nach Schweregrad und Asset-Wert priorisieren und automatisierte Patching-Workflows auslösen. Mit der Verwaltung von Sicherheitslücken können Sie eine kritische Sicherheitslücke auf mehreren Endpunkten identifizieren.

Hinweis

Führen Sie die folgenden Schritte aus, bevor Sie die Integration in Google SecOps konfigurieren:

1. Konfigurieren Sie den CrowdStrike Falcon API-Client.

2. Konfigurieren Sie die Aktionsberechtigungen.

3. Konfigurieren Sie die Connector-Berechtigungen.

CrowdStrike Falcon API-Client konfigurieren

Wenn Sie einen CrowdStrike API-Client definieren und API-Clients oder ‑Schlüssel ansehen, erstellen oder ändern möchten, benötigen Sie die Rolle FalconAdministrator.

Secrets werden nur angezeigt, wenn Sie einen neuen API-Client erstellen oder den API-Client zurücksetzen.

So konfigurieren Sie den CrowdStrike Falcon API-Client:

1. Rufen Sie in der Falcon-Benutzeroberfläche Support und Ressourcen > Ressourcen und Tools > API-Clients und -Schlüssel auf. Auf dieser Seite können Sie vorhandene Clients finden, neue API-Clients hinzufügen oder das Audit-Log aufrufen.
2. Klicken Sie auf API-Client erstellen.
3. Geben Sie einen Namen für den neuen API-Client ein.
4. Wählen Sie die entsprechenden API-Bereiche aus.

5. Klicken Sie auf Erstellen. Die Werte für Client-ID und Clientschlüssel werden angezeigt.

   Dies ist das einzige Mal, dass Sie den Clientschlüsselwert sehen. Bewahren Sie ihn sicher auf. Wenn Sie Ihren Clientschlüssel verlieren, setzen Sie Ihren API-Client zurück und aktualisieren Sie alle Anwendungen, die den Clientschlüssel verwenden, mit neuen Anmeldedaten.

Weitere Informationen zum Zugriff auf die CrowdStrike API finden Sie im CrowdStrike-Blog im Leitfaden Getting Access to the CrowdStrike API.

Aktionsberechtigungen konfigurieren

In der folgenden Tabelle finden Sie die Mindestberechtigungen für Aktionen:

Aktion	Erforderliche Berechtigungen
Kommentar zur Benachrichtigung hinzufügen	Alerts.Read Alerts.Write
Kommentar zu Erkennung hinzufügen	Detections.Read Detection.Write
Kommentar zur Erkennung von Identitätsschutz hinzufügen	Alerts.Read Alerts.Write
Kommentar zum Vorfall hinzufügen	Incidents.Write
Erkennung schließen	Detections.Read Detection.Write
Endpunkt isolieren	Hosts.Read Hosts.Write
IOC löschen	IOC Management.Read IOC Management.Write
Datei herunterladen	Hosts.Read Real time response.Read Real time response.Write
Befehl ausführen	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write* für Befehle mit vollen Berechtigungen.
Benachrichtigungsdetails abrufen	Alerts.Read
Ereignis-Offset abrufen	Event streams.Read
Hosts nach IOC abrufen	Nicht verfügbar: verworfen
Informationen zum Host abrufen	Hosts.Read
Prozessnamen nach IOC abrufen	Nicht verfügbar: verworfen
Hosts ausblenden	Hosts.Read Hosts.Write
Endpunkt für Lift-Containment	Hosts.Read Hosts.Write
Hosts auflisten	Hosts.Read
Host-Sicherheitslücken auflisten	Hosts.Read Spotlight vulnerabilities.Read
Hochgeladene IOCs auflisten	IOC Management.Read
On-Demand-Scan	On-demand scans (ODS).Read On-demand scans (ODS).Write
Ping	Hosts.Read
Script ausführen	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write
Ereignisse suchen	NGSIEM.Read NGSIEM.Write
Datei einreichen	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
URL einreichen	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Benachrichtigung ändern	Alerts.Read Alerts.Write
Erkennung aktualisieren	Detections.Read Detection.Write User management.Read
Erkennung des Identitätsschutzes aktualisieren	Alerts.Read Alerts.Write
Vorfall aktualisieren	Incidents.Write
IOC-Informationen aktualisieren	IOC Management.Read IOC Management.Write
IOCs hochladen	IOC Management.Read IOC Management.Write

Connector-Berechtigungen konfigurieren

In der folgenden Tabelle finden Sie die Mindestberechtigungen für Connectors:

Connector	Erforderliche Berechtigungen
CrowdStrike-Connector für Benachrichtigungen	Alerts.Read
CrowdStrike-Connector für die Erkennung	Detection.Read
CrowdStrike Falcon Streaming Events-Connector	Event streams.Read
CrowdStrike Identity Protection Detections-Connector	Alerts.Read
CrowdStrike Incidents Connector	Incidents.Read

Endpunkte

Die CrowdStrike Falcon-Integration interagiert mit den folgenden CrowdStrike Falcon API-Endpunkten:

Allgemeine API-Endpunkte:

• /oauth2/token

Hosts und Geräte:

• /devices/entities/devices/v1
• /devices/entities/devices-actions/v2

Erkennungen und Ereignisse:

• /detections/entities/detections/v2
• /detections/entities/summaries/GET/v1
• /protection/entities/detections/v1
• /humio/api/v1/repositories/{repository}/queryjobs
• /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

Kompromittierungsindikatoren (Indicators of Compromise, IoCs):

• /intel/entities/indicators/v1
• /intel/queries/devices/v1

Sicherheitslücken:

• /devices/combined/devices/vulnerabilities/v1

Reaktion und Eindämmung:

• /respond/entities/command-queues/v1
• /respond/entities/extracted-files/v1

Vorfälle:

• /incidents/entities/incidents/GET/v1
• /incidents/entities/incidents/comments/GET/v1
• /incidents/entities/incidents/GET/v1

Datei- und URL-Analyse:

• /malware-uploads/entities/submissions/v2
• /url/entities/scans/v1

Integrationsparameter

Damit die Integration ordnungsgemäß funktioniert, ist eine Premium-Version von CrowdStrike Falcon mit allen Funktionen erforderlich. Bestimmte Aktionen funktionieren nicht mit einer Basisversion von CrowdStrike Falcon.

Für die CrowdStrike Falcon-Integration sind die folgenden Parameter erforderlich:

Parameter
API Root	Ein API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client API ID	Erforderlich Die Client-ID für die CrowdStrike API.
Client API Secret	Erforderlich Der Clientschlüssel für die CrowdStrike API.
Verify SSL	Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike Falcon-Server gültig ist. Standardmäßig nicht ausgewählt.
Customer ID	Optional Die Kundennummer des Mandanten, in dem die Integration ausgeführt werden soll. Zur Verwendung in Umgebungen mit mehreren Mandanten (MSSP).

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Bevor Sie mit der Integrationskonfiguration fortfahren, konfigurieren Sie die minimalen Berechtigungen, die für jedes Integrationselement erforderlich sind. Weitere Informationen finden Sie unter Aktionsberechtigungen.

Kommentar zur Benachrichtigung hinzufügen

Verwenden Sie die Aktion Benachrichtigungskommentar hinzufügen, um einer Benachrichtigung in CrowdStrike Falcon einen Kommentar hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Add Alert Comment sind die folgenden Parameter erforderlich:

Parameter
Alert	Erforderlich Die ID der zu aktualisierenden Benachrichtigung.
Comment	Erforderlich Der Kommentar, der der Benachrichtigung hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Benachrichtigungskommentar hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Add Alert Comment liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike	Aktion erfolgreich.
Error executing action "Add Alert Comment". Reason: ERROR_REASON Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Add Alert Comment verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Kommentar zu Erkennung hinzufügen – verworfen

Eingestellt: Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Add Alert Comment.

Verwenden Sie die Aktion Kommentar zur Erkennung hinzufügen, um der Erkennung in CrowdStrike Falcon einen Kommentar hinzuzufügen.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Kommentar zu Erkennung hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Detection ID	Pflichtangabe. Die ID der Erkennung, der ein Kommentar hinzugefügt werden soll.
Comment	Pflichtangabe. Der Kommentar, der der Erkennung hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Kommentar zu Erkennung hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Kommentar zu Erkennung hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Kommentar zur Erkennung von Identitätsschutz hinzufügen

Verwenden Sie die Aktion Add Identity Protection Detection Comment, um der Identitätsschutz-Erkennung in CrowdStrike einen Kommentar hinzuzufügen.

Für diese Aktion ist eine Identity Protection-Lizenz erforderlich.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Add Identity Protection Detection Comment sind die folgenden Parameter erforderlich:

Parameter
Detection ID	Erforderlich Die ID der zu aktualisierenden Erkennung.
Comment	Erforderlich Der Kommentar, der der Erkennung hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Add Identity Protection Detection Comment liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Kommentar zur Identitätsschutz-Erkennung hinzufügen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike	Aktion erfolgreich.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Aktion fehlgeschlagen. Bitte überprüfen Sie, ob sie richtig geschrieben wurden.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Add Identity Protection Detection Comment verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Vorfallkommentar hinzufügen (eingestellt)

Eingestellt: Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Benachrichtigung aktualisieren.

Verwenden Sie die Aktion Vorfallkommentar hinzufügen, um einem Vorfall in CrowdStrike einen Kommentar hinzuzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Vorfallkommentar hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Incident ID	Pflichtangabe. ID des zu aktualisierenden Vorfalls.
Comment	Pflichtangabe. Der Kommentar, der dem Vorfall hinzugefügt werden soll.

Aktionsausgaben

Die Aktion Vorfallkommentar hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Vorfalls-Kommentar hinzufügen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added comment to the incident INCIDENT_ID in CrowdStrike	Aktion erfolgreich.
Error executing action "Add Incident Comment". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Aktion fehlgeschlagen. Bitte überprüfen Sie, ob sie richtig geschrieben wurden.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Skriptausgabe bei Verwendung der Aktion Vorfallkommentar hinzufügen beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Erkennung schließen – eingestellt

Eingestellt: Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Benachrichtigung aktualisieren.

Verwenden Sie die Aktion Erkennung schließen, um eine CrowdStrike Falcon-Erkennung zu schließen.

Hinweis: Die Aktion Benachrichtigung aktualisieren ist die Best Practice für diesen Anwendungsfall und sollte anstelle dieser Aktion verwendet werden, indem der entsprechende Status angegeben wird.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Close Detection sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Detection ID	Pflichtangabe. Die ID der zu schließenden Erkennung.
Hide Detection	Optional. Wenn diese Option ausgewählt ist, wird die Erkennung in der Benutzeroberfläche ausgeblendet. Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Erkennung schließen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Erkennung schließen beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Endpunkt isolieren

Verwenden Sie die Aktion Contain Endpoint, um den Endpunkt in CrowdStrike Falcon einzudämmen.

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Aktionseingaben

Für die Aktion Endpunkt isolieren sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Fail If Timeout	Optional Wenn diese Option ausgewählt ist und nicht alle Endpunkte enthalten sind, schlägt die Aktion fehl. Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Contain Endpoint liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Entitätsanreicherung

Die Aktion Endpunkt isolieren unterstützt die folgende Logik zur Entitätsanreicherung:

Anreicherungsfeld	Logik
status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
major_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
policies	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_platform	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
bios_manufacturer	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_manufacturer	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
device_policies	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
meta	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
pointer_size	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
last_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_local_time	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
first_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_major	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
slow_changing_modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_minor	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_product_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type_desc	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
build_number	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
cid	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
local_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
external_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
hostname	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_build	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
minor_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
os_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_base	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
provision_status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
mac_address	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
bios_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_load_flags	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
device_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Contain Endpoint erhalten:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}

Ausgabenachrichten

Die Aktion Endpunkt isolieren liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Contain Endpoint". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID	Aktion fehlgeschlagen. Prüfen Sie den Endpunktstatus und den Parameterwert Fail If Timeout.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Contain Endpoint verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

IOC löschen

Mit der Aktion IOC löschen können Sie benutzerdefinierte IOCs in CrowdStrike Falcon löschen.

Bei dieser Aktion werden Hostnamen-Entitäten als Domain-IOCs behandelt und der Domainteil wird aus URLs extrahiert. Diese Aktion unterstützt nur die MD5- und SHA-256-Hashes.

Die Aktion IOC löschen wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname
• URL
• Hash

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Delete IOC liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion IOC löschen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ausgabenachrichten

Auf einer Fallpinnwand werden bei der Aktion IOC löschen die folgenden Ausgabemeldungen angezeigt:

Ausgabemeldung	Beschreibung der Nachricht
Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID All of the provided IOCs were not a part of CrowdStrike Falcon instance.	Aktion erfolgreich.
Error executing action "Delete IOC". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Datei herunterladen

Verwenden Sie die Aktion Datei herunterladen, um Dateien von den Hosts in CrowdStrike Falcon herunterzuladen.

Für diese Aktion müssen sich sowohl der Dateiname als auch die IP-Adresse oder eine Hostname-Entität im Bereich der Google SecOps-Benachrichtigung befinden.

Die heruntergeladene Datei befindet sich in einem passwortgeschützten ZIP-Paket. Geben Sie das folgende Passwort ein, um auf die Datei zuzugreifen: infected.

Die Aktion Datei herunterladen wird für die folgenden Entitäten ausgeführt:

• Dateiname
• IP-Adresse
• Host

Aktionseingaben

Für die Aktion Datei herunterladen sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Download Folder Path	Erforderlich Der Pfad zum Ordner, in dem die heruntergeladene Datei gespeichert wird. Das Format hängt von Ihrer Bereitstellung ab: SaaS-Bereitstellung: Der Pfad ist intern für die gehostete Plattform. Remote-Bereitstellung: Der Pfad muss ein absoluter, gültiger Verzeichnispfad auf dem lokalen Computer sein, auf dem der Remote-Agent installiert ist (z. B. C:\temp\download für Windows oder /var/tmp/download/ für Linux).
Overwrite	Erforderlich Wenn diese Option ausgewählt ist, wird die Datei mit demselben Namen überschrieben. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Datei herunterladen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Elementen	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Elementen

Die Aktion Datei herunterladen stellt die folgende Entitätstabelle bereit:

Entität
filepath	Absoluter Pfad zur Datei.

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Datei herunterladen erhalten:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}

Ausgabenachrichten

Die Aktion Datei herunterladen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Download File". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.	Aktion fehlgeschlagen. Prüfen Sie den Wert des Parameters Overwrite oder löschen Sie die Datei.
Waiting for results for the following entities: ENTITY_ID	Asynchrone Nachricht.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Datei herunterladen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Befehl ausführen

Verwenden Sie die Aktion Befehl ausführen, um Befehle auf den Hosts in CrowdStrike Falcon auszuführen.

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Aktionseingaben

Für die Aktion Befehl ausführen sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Command	Erforderlich Geben Sie an, welcher Befehl auf den Hosts ausgeführt werden soll.
Admin Command	Optional Wenn diese Option ausgewählt ist, werden Befehle mit Administratorberechtigungen ausgeführt. Dies ist für bestimmte Befehle wie put erforderlich. Standardmäßig nicht ausgewählt.
Hostname	Optional Durch Kommas getrennte Liste der Hostnamen, auf denen Sie die Aktion ausführen möchten. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Queue Offline	Optional Wenn diese Option ausgewählt ist, werden Befehle für Offlinehosts in die Warteschlange gestellt und ausgeführt, sobald der Host wieder mit dem Netzwerk verbunden ist. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Befehl ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Auf einer Case Wall liefert die Aktion Befehl ausführen die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Execute Command". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Waiting for results for the following entities: ENTITY_ID	Asynchrone Nachricht.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Befehl ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Benachrichtigungsdetails abrufen

Verwenden Sie die Aktion Benachrichtigungsdetails abrufen, um die Details einer Benachrichtigung in CrowdStrike Falcon abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benachrichtigungsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Alert ID	Pflichtangabe. Die eindeutige ID der Benachrichtigung, zu der Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion Benachrichtigungsdetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Get Alert Details empfangen werden:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "[e-mail]",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Ausgabenachrichten

Die Aktion Benachrichtigungsdetails abrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.	Die Aktion war erfolgreich.
Error executing action "Get Alert Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Benachrichtigungsdetails abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ereignis-Offset abrufen

Verwenden Sie die Aktion Ereignis-Offset abrufen, um den Ereignis-Offset abzurufen, der vom Streaming-Ereignis-Connector verwendet wird.

Mit dieser Aktion werden Ereignisse der letzten 30 Tage verarbeitet.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Ereignisversatz abrufen sind die folgenden Parameter erforderlich:

Parameter
Max Events To Process	Erforderlich Die Anzahl der Ereignisse, die die Aktion ab 30 Tagen zuvor verarbeiten muss. Der Standardwert ist 10000.

Aktionsausgaben

Die Aktion Ereignisversatz abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Ereignis-Offset abrufen erhalten:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}

Ausgabenachrichten

Die Aktion Ereignisversatz abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved event offset in CrowdStrike Falcon.	Aktion erfolgreich.
Error executing action "Get Event Offset". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ereignis-Offset abrufen beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Informationen zum Host abrufen

Verwenden Sie die Aktion Hostinformationen abrufen, um Informationen zum Hostnamen von CrowdStrike Falcon abzurufen.

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Hostname
• IP-Adresse

Aktionseingaben

Für die Aktion Hostinformationen abrufen sind die folgenden Parameter erforderlich:

Parameter
Hostname	Optional Eine durch Kommas getrennte Liste von Hostnamen, die in CrowdStrike Falcon ausgeblendet werden sollen. Die Aktion verarbeitet sowohl die in diesem Parameter angegebenen Eingabewerte als auch die mit dem Fall verknüpften Hostnamen- und IP-Adressen-Entitäten.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Customer ID	Optional Die eindeutige CrowdStrike-Kundennummer (CID), die für die Ausrichtung auf einen bestimmten Mandanten verwendet wird. Dieser Parameter ist in Falcon Flight Control- oder Mehrmandantenumgebungen erforderlich, um die Aktion für eine bestimmte untergeordnete CID auszuführen.

Aktionsausgaben

Die Aktion Hostinformationen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Entitätsanreicherung

Die Aktion Hostinformationen abrufen unterstützt die folgende Logik zur Entitätsanreicherung:

Anreicherungsfeld	Logik
modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
major_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
site_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_platform	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_manufacturer	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
meta	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
first_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_minor	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type_desc	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
build_number	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
hostname	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_build	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
minor_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
os_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
provision_status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
mac_address	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
bios_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_load_flags	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
bios_manufacturer	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
machine_domain	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_local_time	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
slow_changing_modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_major	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
device_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_product_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
local_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
external_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
cid	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_base	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
last_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
pointer_size	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Hostinformationen abrufen zurückgegeben wird:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]

Ausgabenachrichten

Die Aktion Hostinformationen abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Get Host Information". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Hostinformationen abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Hosts nach IOC abrufen – eingestellt

Eingestellt: Diese Aktion wird nicht mehr unterstützt.

Hosts auflisten, die mit den IOCs in CrowdStrike Falcon verknüpft sind. Unterstützte Entitäten: Hostname, URL, IP-Adresse und Hash.
Hinweis: Hostnamen-Entitäten werden als Domain-IOCs behandelt. Mit der Aktion wird der Domainteil aus URLs extrahiert. Es werden nur MD5- und SHA-256-Hashes unterstützt.

Entitäten

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname
• URL
• Hash

Aktionseingaben

–

Aktionsausgaben

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
  

Entitätsanreicherung

Anreicherungsfeld	Logik
modified_timestamp	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
major_version	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
site_name	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
platform_id	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
config_id_platform	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
system_manufacturer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
meta	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
first_seen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
service_pack_minor	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
product_type_desc	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
build_number	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Hostname	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
config_id_build	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
minor_version	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
os_version	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
provision_status	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
mac_address	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
bios_version	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
agent_load_flags	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Status	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
bios_manufacturer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
machine_domain	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Device_policies	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
agent_local_time	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
slow_changing_modified_timestamp	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
service_pack_major	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
system_product_name	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
product_type	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
local_ip	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
external_ip	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
cid	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
platform_name	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
config_id_base	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Richtlinien	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
last_seen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
pointer_size	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
agent_version	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Entitätsstatistik

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: Wenn erfolgreich und mindestens ein Host gefunden wird, der mit den angegebenen IOCs in Verbindung steht (is_success=true): „Hosts, die mit den angegebenen IOCs in CrowdStrike Falcon in Verbindung stehen, wurden erfolgreich abgerufen.“ Wenn keine zugehörigen Hosts gefunden werden (is_success=false): „In CrowdStrike Falcon wurden keine Hosts gefunden, die mit den angegebenen IOCs in Verbindung stehen.“ Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion „{action name}“. Grund: {traceback}.“	Allgemein

Prozessnamen nach IOC abrufen – eingestellt

Eingestellt: Diese Aktion wird nicht mehr unterstützt.

Prozesse im Zusammenhang mit den IOCs und den bereitgestellten Geräten in CrowdStrike Falcon abrufen. Unterstützte Entitäten: Hostname, URL, IP-Adresse und Hash.
Hinweis: Hostnamen-Entitäten werden als Domain-IOCs behandelt. Die Aktion extrahiert den Domainteil aus URLs. Es werden nur die MD5-, SHA-1- und SHA-256-Hashes unterstützt. Die IP-Adressen-Entitäten werden als IOCs behandelt.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Gerätenamen	11	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Geräten an, für die Sie Prozesse im Zusammenhang mit Entitäten abrufen möchten.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Hostname
• URL
• Hash

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
  

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden
Prozessname	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Anzeige	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Hostname	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Entitätsstatistiken

–

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte weder fehlschlagen noch die Ausführung eines Playbooks beenden: Wenn Prozesse im Zusammenhang mit Entitäten für mindestens einen Endpunkt gefunden wurden (is_success=true): „Prozesse im Zusammenhang mit den IOCs auf den folgenden Endpunkten in CrowdStrike Falcon wurden erfolgreich abgerufen: {device name}.“ Wenn für mindestens einen Endpunkt keine Prozesse gefunden werden oder das Gerät nicht gefunden wird (is_success=true):„In CrowdStrike Falcon wurden auf den folgenden Endpunkten keine zugehörigen Prozesse gefunden: {Gerätename}.“ Wenn für alle Endpunkte keine Prozesse gefunden werden oder keines der Geräte gefunden wird (is_success=false): „Auf den angegebenen Endpunkten in CrowdStrike Falcon wurden keine zugehörigen Prozesse gefunden. Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: Wenn ein kritischer Fehler gemeldet wird: „Fehler beim Ausführen von ‚{Aktionsname}‘. Grund: {trace back}.“

Hosts ausblenden

Mit der Aktion Hosts ausblenden können Sie einen oder mehrere Hosts in der CrowdStrike Falcon-Konsole ausblenden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Hostname
• IP-Adresse

Aktionseingaben

Für die Aktion Hosts ausblenden sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Hostname	Optional. Eine durch Kommas getrennte Liste von Hostnamen, die in CrowdStrike Falcon ausgeblendet werden sollen. Die Aktion verarbeitet sowohl die in diesem Parameter angegebenen Eingabewerte als auch die an den Fall angehängten Entitäten Hostname und IP Address.
Customer ID	Optional. Die eindeutige CrowdStrike-Kundennummer (CID), die für die Ausrichtung auf einen bestimmten Mandanten verwendet wird. Dieser Parameter ist in Falcon Flight Control- oder Mehrmandantenumgebungen erforderlich, um die Aktion für eine bestimmte untergeordnete CID auszuführen.

Aktionsausgaben

Die Aktion Hosts ausblenden liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Entitätsanreicherungen	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Hosts ausblenden liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully hid the following hosts in Crowdstrike: HOSTS. Action wasn't able to hide the following hosts in Crowdstrike: HOSTS. None of the provided hosts were hidden.	Die Aktion war erfolgreich.
Error executing action "Hide Host". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Hosts ausblenden verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Endpunkt für Lift-Containment

Verwenden Sie die Aktion Lift Contained Endpoint, um die Endpunkt-Eindämmung in CrowdStrike Falcon aufzuheben.

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Aktionseingaben

Für die Aktion Lift Contained Endpoint sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Fail If Timeout	Optional Wenn diese Option ausgewählt ist und die Eindämmung nicht auf allen Endpunkten aufgehoben wurde, schlägt die Aktion fehl. Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Lift Contained Endpoint liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Entitätsanreicherung

Die Aktion Enthaltenen Endpunkt aufheben unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld	Logik
status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
major_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_platform	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_manufacturer	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
device_policies	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
meta	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
pointer_size	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
last_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_local_time	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
first_seen	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_major	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
slow_changing_modified_timestamp	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
service_pack_minor	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
system_product_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type_desc	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
build_number	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
cid	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
local_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
external_ip	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
hostname	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_build	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
minor_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
os_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
config_id_base	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
provision_status	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
mac_address	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
bios_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
platform_name	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_load_flags	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
device_id	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
product_type	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist
agent_version	Wird zurückgegeben, wenn es im JSON-Ergebnis vorhanden ist

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Lift Contained Endpoint empfangen wird:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }

Ausgabenachrichten

Die Aktion Lift Contained Endpoint liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID	Asynchrone Nachricht.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID	Aktion fehlgeschlagen. Prüfen Sie den Endpunktstatus und den Parameterwert Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Lift Contained Endpoint verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Host-Sicherheitslücken auflisten

Verwenden Sie die Aktion Host-Sicherheitslücken auflisten, um die auf dem Host in CrowdStrike Falcon gefundenen Sicherheitslücken aufzulisten.

Für diese Aktion sind eine Falcon Spotlight-Lizenz und die entsprechenden Berechtigungen erforderlich.

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Aktionseingaben

Für die Aktion Host-Sicherheitslücken auflisten sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Severity Filter	Optional Geben Sie eine durch Kommas getrennte Liste der Schweregrade für Sicherheitslücken an. Wenn nichts angegeben ist, werden alle zugehörigen Sicherheitslücken aufgenommen. Mögliche Werte: Critical, High, Medium, Low, Unknown.
Create Insight	Optional Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik pro Entität erstellt, die statistische Informationen zu zugehörigen Sicherheitslücken enthält. Standardmäßig ausgewählt.
Max Vulnerabilities To Return	Optional Geben Sie an, wie viele Sicherheitslücken pro Host zurückgegeben werden sollen. Wenn nichts angegeben ist, werden alle zugehörigen Sicherheitslücken verarbeitet. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Host-Sicherheitslücken auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Auf einer Case Wall bietet die Aktion Host-Sicherheitslücken auflisten die folgende Tabelle:

Typ: Entität

Spalten:

• Name
• Punktzahl
• Schweregrad
• Status
• App
• Hat Abhilfe

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Host-Sicherheitslücken auflisten zurückgegeben wird:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}

Ausgabenachrichten

Die Aktion Host-Sicherheitslücken auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found for the following hosts: ENTITIES	Aktion erfolgreich.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Aktion fehlgeschlagen. Prüfen Sie den Parameterwert Severity Filter.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Skriptausgabe beschrieben, wenn die Aktion Host-Sicherheitslücken auflisten verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Hosts auflisten

Verwenden Sie die Aktion Hosts auflisten, um die verfügbaren Hosts in CrowdStrike Falcon aufzulisten.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Hosts auflisten sind die folgenden Parameter erforderlich:

Parameter
Filter Logic	Optional Eine Logik, die bei der Suche nach Hosts verwendet werden soll. Der Standardwert ist Equals. Folgende Werte sind möglich: Equals Contains
Filter Value	Optional Ein Wert, der für die Hostfilterung verwendet werden soll.
Max Hosts To Return	Optional Die Anzahl der zurückzugebenden Hosts. Der Standardwert ist 50. Der Höchstwert ist 1000.

Aktionsausgaben

Die Aktion Hosts auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Hosts auflisten erhalten:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]

Ausgabenachrichten

Die Aktion Hosts auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved available hosts based on the provided criteria. No hosts were found for the provided criteria.	Aktion erfolgreich.
Error executing action "List Hosts". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Hosts auflisten beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Hochgeladene IOCs auflisten

Verwenden Sie die Aktion Hochgeladene IOCs auflisten, um verfügbare benutzerdefinierte IOCs in CrowdStrike Falcon aufzulisten.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Hochgeladene IOCs auflisten sind die folgenden Parameter erforderlich:

Parameter
IOC Type Filter	Optional Eine durch Kommas getrennte Liste der zurückzugebenden IOC-Typen. Der Standardwert ist ipv4,ipv6,md5,sha1,sha256,domain. Folgende Werte sind möglich: ipv4 ipv6 md5 sha1 sha256 domain
Value Filter Logic	Optional Ein Wert der Filterlogik. Der Standardwert ist Equal. Folgende Werte sind möglich: Equal Contains Wenn Equal festgelegt ist, versucht die Aktion, die genaue Übereinstimmung unter den IOCs zu finden. Wenn Contains festgelegt ist, versucht die Aktion, IOCs zu finden, die den ausgewählten Teilstring enthalten.
Value Filter String	Optional Ein String, der in IOCs gesucht werden soll.
Max IOCs To Return	Optional Die Anzahl der zurückzugebenden IOCs. Der Standardwert ist 50. Der Höchstwert ist 500.

Aktionsausgaben

Die Aktion Hochgeladene IOCs auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Auf einer Case Wall bietet die Aktion Hochgeladene IOCs auflisten die folgende Tabelle:

Spalten:

• Aktion
• Schweregrad
• Unterzeichnet
• AV-Treffer
• Plattformen
• Tags
• Erstellt am
• Erstellt von

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Hochgeladene IOCs auflisten erhalten:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "[e-mail]",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "[e-mail]"
        }

Ausgabenachrichten

Die Aktion Hochgeladene IOCs auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon.	Aktion erfolgreich.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.	Aktion fehlgeschlagen. Prüfen Sie die Schreibweise und den Parameterwert IOC Type Filter.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Hochgeladene IOCs auflisten beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

On-Demand-Scan

Verwenden Sie die Aktion On-Demand-Scan, um den Endpunkt in CrowdStrike bei Bedarf zu scannen.

Diese Aktion wird nur auf Windows-Hosts und den folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname

Die Aktion On-Demand-Scan wird asynchron ausgeführt. Passen Sie bei Bedarf den Wert für das Zeitlimit des Skripts in der Google SecOps-IDE an.

Aktionseingaben

Für die Aktion On-Demand-Scan sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
File Paths To Scan	Erforderlich Durch Kommas getrennte Liste der zu scannenden Pfade. Der Standardwert ist C:\Windows.
File Paths To Exclude From Scan	Optional Durch Kommas getrennte Liste von Pfaden, die vom Scannen ausgeschlossen werden sollen.
Host Group Name	Optional Durch Kommas getrennte Liste der Hostgruppennamen, für die der Scan gestartet werden soll. Hinweis: Für jede Hostgruppe wird ein separater Scanvorgang erstellt.
Scan Description	Optional Beschreibung des Scans. Wenn kein Wert angegeben ist, wird die Beschreibung durch die Aktion auf Scan initialized by Chronicle SecOps. gesetzt.
CPU Priority	Optional Die CPU-Menge, die während des Scans für den zugrunde liegenden Host verwendet werden soll. Mögliche Werte: Up to 1% CPU utilization, Up to 25% CPU utilization, Up to 50% CPU utilization, Up to 75% CPU utilization, Up to 100% CPU utilization. Der Standardwert ist Up to 25% CPU utilization.
Sensor Anti-malware Detection Level	Optional Geben Sie die Anti-Malware-Erkennungsstufe des Sensors an. Hinweis: Die Erkennungsstufe muss mindestens der Präventionsstufe entsprechen. Mögliche Werte: Cautious, Moderate, Aggressive, Extra Aggressive. Der Standardwert ist Moderate.
Sensor Anti-malware Prevention Level	Optional Geben Sie die Anti-Malware-Präventionsstufe des Sensors an. Hinweis: Die Erkennungsstufe muss mindestens der Präventionsstufe entsprechen. Mögliche Werte: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Der Standardwert ist Moderate.
Cloud Anti-malware Detection Level	Optional Geben Sie die Erkennungsstufe für cloudbasierte Anti-Malware an. Hinweis: Die Erkennungsstufe muss mindestens der Präventionsstufe entsprechen. Mögliche Werte: Cautious, Moderate, Aggressive, Extra Aggressive. Der Standardwert ist Moderate.
Cloud Anti-malware Prevention Level	Optional Geben Sie die Stufe des Cloud-Malware-Schutzes an. Hinweis: Die Erkennungsstufe muss mindestens der Präventionsstufe entsprechen. Mögliche Werte: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Der Standardwert ist Moderate.
Quarantine Hosts	Optional Wenn diese Option ausgewählt ist, werden die zugrunde liegenden Hosts im Rahmen des Scans unter Quarantäne gestellt. Standardmäßig nicht ausgewählt.
Create Endpoint Notification	Optional Wenn diese Option ausgewählt ist, wird beim Scannen eine Endpunktbenachrichtigung erstellt. Standardmäßig ausgewählt.
Max Scan Duration	Optional Anzahl der Stunden, die ein Scan ausgeführt wird. Wenn kein Wert angegeben ist, wird der Scan kontinuierlich ausgeführt. Der Standardwert ist 1.
Hostname	Optional Durch Kommas getrennte Liste der Hostnamen, auf denen Sie die Aktion ausführen möchten. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.

Aktionsausgaben

Die Aktion On-Demand-Scan liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion On-Demand-Scan erhalten:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}

Ausgabenachrichten

Die Aktion On-Demand-Scan liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances. None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created. Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS The following host groups were not found in CrowdStrike: HOST_GROUPS None of the provided host groups were found in CrowdStrike. Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS	Aktion erfolgreich.
Error executing action "On-Demand Scan". Reason: ERROR_REASON Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion On-Demand-Scan beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu CrowdStrike Falcon zu testen.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Scriptergebnis	Verfügbar

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Script ausführen

Verwenden Sie die Aktion Script ausführen, um ein PowerShell-Script auf den Endpunkten in CrowdStrike auszuführen.

Diese Aktion ist asynchron. Passen Sie bei Bedarf den Wert für die Zeitüberschreitung des Scripts in der Google SecOps-IDE an.

Diese Aktion wird für die Entitäten „IP-Adresse“ und „Hostname“ ausgeführt.

Aktionseingaben

Für die Aktion Skript ausführen sind die folgenden Parameter erforderlich:

Parameter
Customer ID	Optional Geben Sie die ID des Kunden an, für den Sie die Aktion ausführen möchten.
Script Name	Optional Der Name der Skriptdatei, die ausgeführt werden muss. Hinweis: Es muss entweder Script Name oder Raw Script angegeben werden. Wenn beide angegeben sind, hat Raw Script Vorrang.
Raw Script	Optional Unformatierte PowerShell-Script-Nutzlast, die auf den Endpunkten ausgeführt werden muss. Hinweis: Es muss entweder Script Name oder Raw Script angegeben werden. Wenn beide angegeben sind, hat Raw Script Vorrang.
Hostname	Optional Durch Kommas getrennte Liste der Hostnamen, auf denen Sie die Aktion ausführen möchten. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Device ID	Optional Durch Kommas getrennte Liste der Geräte-IDs, auf denen die Aktion ausgeführt werden soll. Hinweis: Die Aktion wird sowohl für die mit dem Fall verknüpften Entitäten als auch für diese Parameterwerte ausgeführt.
Queue Offline	Optional Wenn diese Option ausgewählt ist, werden Befehle für Offlinehosts in die Warteschlange gestellt und ausgeführt, sobald der Host wieder mit dem Netzwerk verbunden ist. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Script ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

In einem Fall-Repository liefert die Aktion Script ausführen die folgenden Ausgabemeldungen:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Script wasn't executed on the provided endpoints in CrowdStrike. Waiting for the scripts to finish execution on the following endpoints: ENTITIES	Aktion erfolgreich.
Error executing action "Run Script". Reason: ERROR_REASON Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Skript ausführen beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Ereignisse suchen

Mit der Aktion Search Events können Sie asynchrone Ereignissuchanfragen in CrowdStrike Falcon-SIEM-Repositories der nächsten Generation (LogScale) ausführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Ereignisse suchen sind die folgenden Parameter erforderlich:

Parameter
Repository	Erforderlich Ein Repository, in dem gesucht werden soll. Folgende Werte sind möglich: All Falcon Third Party IT Automation Forensics Der Standardwert ist All.
Query	Erforderlich Eine Abfrage, die in CrowdStrike ausgeführt werden soll. Hinweis: Geben Sie head nicht als Teil der Abfrage an.
Time Frame	Optional Der Zeitraum für die Ergebnisse. Wenn Custom ausgewählt ist, müssen Sie auch Start Time angeben. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Der Standardwert ist Last Hour.
Start Time	Optional Die Startzeit für die Ergebnisse im ISO 8601-Format. Wenn Custom in Time Frame festgelegt ist, ist dieser Parameter obligatorisch.
End Time	Optional Die Endzeit für die Ergebnisse im ISO 8601-Format. Wenn kein Wert angegeben ist und Custom in Time Frame festgelegt ist, wird die aktuelle Zeit als Endzeit verwendet.
Max Results To Return	Optional Die maximale Anzahl von Ergebnissen, die für die Abfrage zurückgegeben werden sollen. Der Höchstwert ist 1000. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Ereignisse suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

In einem Fall-Repository liefert die Aktion Ereignisse suchen die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned results for the query "{query}" in CrowdStrike. No results were found for the query "{query}" in CrowdStrike Waiting for the search job to finish...	Die Aktion sollte die Ausführung eines Playbooks nicht fehlschlagen lassen oder beenden.
Error executing action "Search Events". Reason: {0}''.format(error.Stacktrace) Error executing action "Search Events". Reason: {0}''.format(message) Error executing action "Search Events". Reason: query Job {query id} has expired. Please decrease the async polling interval.	Aktion fehlgeschlagen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ereignisse suchen beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Datei einreichen

Verwenden Sie die Aktion Datei senden, um Dateien an eine Sandbox in CrowdStrike zu senden.

Für diese Aktion ist eine Falcon Sandbox-Lizenz erforderlich.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Unterstützte Datei- und Archivformate

Laut CrowdStrike-Portal unterstützt die Sandbox die folgenden Dateiformate:

Unterstützte Dateiformate
.exe, .scr, .pif, .dll, .com, .cpl	Portable Executables
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub	Office-Dokumente
.pdf	PDF
.apk	APK
.jar	Ausführbare JAR-Datei
.sct	Windows-Skriptkomponente
.lnk	Windows-Verknüpfung
.chm	Windows-Hilfe
.hta	HTML-Anwendung
.wsf	Windows-Scriptdatei
.js	JavaScript
.vbs, .vbe	Visual Basic
.swf	Shockwave Flash
.pl	Perl
.ps1, .psd1, .psm1	Powershell
.svg	Scalable Vector Graphics
.py	Python
.elf	Ausführbare Linux-ELF-Dateien
.eml	E‑Mail-Dateien: MIME RFC 822
.msg	E‑Mail-Dateien: Outlook

Laut CrowdStrike-Portal unterstützt die Sandbox die folgenden Archivformate:

• .zip
• .7z

Aktionseingaben

Für die Aktion Datei einreichen sind die folgenden Parameter erforderlich:

Parameter
File Paths	Erforderlich Eine Liste der absoluten Pfade zu den eingereichten Dateien. Das Format hängt von Ihrer Bereitstellung ab: SaaS-Bereitstellung: Die Pfade sind intern für die gehostete Plattform. Remote-Bereitstellung: Die Pfade müssen absolute, gültige Dateipfade auf dem lokalen Computer sein, auf dem der Remote-Agent installiert ist (z. B. C:\temp\download für Windows oder /var/tmp/download/ für Linux). Eine Liste der unterstützten Dateiformate finden Sie unter Unterstützte Datei- und Archivformate.
Sandbox Environment	Optional Eine Sandbox-Umgebung für die Analyse. Der Standardwert ist Windows 10, 64-bit. Folgende Werte sind möglich: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Optional Eine Netzwerkumgebung, die analysiert werden soll. Der Standardwert ist Default. Folgende Werte sind möglich: Default TOR Offline Simulated
Archive Password	Optional Ein Passwort, das bei der Arbeit mit Archivdateien verwendet werden soll.
Document Password	Optional Ein Passwort, das bei der Arbeit mit Adobe- oder Office-Dateien verwendet werden soll. Die maximale Passwortlänge beträgt 32 Zeichen.
Check Duplicate	Optional Wenn diese Option ausgewählt ist, wird geprüft, ob die Datei bereits eingereicht wurde, und der verfügbare Bericht wird zurückgegeben. Bei der Validierung werden die Parameter Network Environment und Sandbox Environment nicht berücksichtigt. Standardmäßig ausgewählt.
Comment	Optional Ein Kommentar, der gesendet werden soll.
Confidential Submission	Optional Wenn Sie diese Option auswählen, wird die Datei nur Nutzern in Ihrem Kundenkonto angezeigt. Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion Datei einreichen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Auf einer Case Wall wird für die Aktion Datei einreichen die folgende Tabelle angezeigt:

Spalten:

• Ergebnisse
• Name
• Bedrohungswert
• Einstufung
• Tags

Ausgabenachrichten

Die Aktion Datei senden liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned details about the following files using CrowdStrike: PATHS Action wasn't able to return details about the following files using CrowdStrike: PATHS	Aktion erfolgreich.
Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files. None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files. None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.	Die Aktion hat einen Fehler zurückgegeben. Prüfen Sie die unterstützten Dateiformate für diese Aktion.
Waiting for results for the following files: PATHS	Asynchrone Nachricht.
Error executing action "Submit File". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Aktion fehlgeschlagen. Erhöhen Sie das Zeitlimit in der IDE.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Datei senden verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

URL einreichen

Verwenden Sie die Aktion URL senden, um URLs an eine Sandbox in CrowdStrike zu senden.

Für diese Aktion ist eine Falcon Sandbox-Lizenz erforderlich. Informationen zu den von der Sandbox unterstützten Dateiformaten finden Sie im Abschnitt Unterstützte Datei- und Archivformate in diesem Dokument.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Submit URL sind die folgenden Parameter erforderlich:

Parameter
URLs	Erforderlich URLs, die eingereicht werden sollen.
Sandbox Environment	Optional Eine Sandbox-Umgebung für die Analyse. Der Standardwert ist Windows 10, 64-bit. Folgende Werte sind möglich: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Optional Eine Netzwerkumgebung, die analysiert werden soll. Der Standardwert ist Default. Folgende Werte sind möglich: Default TOR Offline Simulated
Check Duplicate	Optional Wenn diese Option ausgewählt ist, wird geprüft, ob die URL bereits zuvor eingereicht wurde, und der verfügbare Bericht wird zurückgegeben. Bei der Validierung werden die Parameter Network Environment und Sandbox Environment nicht berücksichtigt. Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Submit URL (URL einreichen) liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion URL einreichen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned details about the following URLs using CrowdStrike: PATHS Action wasn't able to return details about the following URLs using CrowdStrike: PATHS	Aktion erfolgreich.
Waiting for results for the following URLs: PATHS	Asynchrone Nachricht.
Error executing action "Submit URL". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Aktion fehlgeschlagen. Erhöhen Sie das Zeitlimit in der IDE.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion URL einreichen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Benachrichtigung ändern

Verwenden Sie die Aktion Benachrichtigung aktualisieren, um Benachrichtigungen in CrowdStrike Falcon zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benachrichtigung aktualisieren sind die folgenden Parameter erforderlich:

Parameter
Alert ID	Erforderlich Die ID der zu aktualisierenden Benachrichtigung.
Status	Optional Der Status der Benachrichtigung. Folgende Werte sind möglich: Closed In Progress New Reopened
Verdict	Optional Das Ergebnis für die Benachrichtigung. Folgende Werte sind möglich: True Positive False Positive
Assign To	Optional Der Name des Analysten, dem die Benachrichtigung zugewiesen werden soll. Wenn Sie Unassign als Parameterwert angeben, wird mit der Aktion eine Zuweisung aus der Benachrichtigung entfernt. Die API akzeptiert jeden Wert, auch wenn der angegebene Nutzer nicht im System vorhanden ist.

Aktionsausgaben

Die Aktion Benachrichtigung aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Benachrichtigung aktualisieren erhalten:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Ausgabenachrichten

Die Aktion Benachrichtigung aktualisieren liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated alert with ID ALERT_ID in CrowdStrike	Aktion erfolgreich.
Error executing action "Update Alert". Reason: ERROR_REASON Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling. Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Benachrichtigung aktualisieren beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Update Detection – eingestellt

Eingestellt: Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Benachrichtigung aktualisieren.

Verwenden Sie die Aktion Erkennung aktualisieren, um Erkennungen in CrowdStrike Falcon zu aktualisieren.

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Update Detection sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Detection ID	Pflichtangabe. Die ID der zu aktualisierenden Erkennung.
Status	Pflichtangabe. Ein Erkennungsstatus. Der Standardwert ist Select One. Folgende Werte sind möglich: Select One new in_progress true_positive false_positive ignored closed
Assign Detection to	Optional. Eine E-Mail-Adresse des CrowdStrike Falcon-Nutzers, dem die Erkennung zugewiesen ist.

Aktionsausgaben

Die Aktion Erkennung aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Erkennung aktualisieren liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated detection DETECTION_ID in CrowdStrike Falcon.	Aktion erfolgreich.
Error executing action "Update Detection". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.	Aktion fehlgeschlagen. Prüfen Sie die Werte der Parameter Status und Assign Detection To.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Erkennung aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Erkennung des Identitätsschutzes aktualisieren

Verwenden Sie Update Identity Protection Detection, um eine Identitätsschutz-Erkennung in CrowdStrike zu aktualisieren.

Für diese Aktion ist eine Identity Protection-Lizenz erforderlich.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Update Identity Protection Detection sind die folgenden Parameter erforderlich:

Parameter
Detection ID	Erforderlich Die ID der zu aktualisierenden Erkennung.
Status	Optional Ein Status der Erkennung. Der Standardwert ist Select One. Folgende Werte sind möglich: Closed Ignored In Progress New Reopened Select One
Assign to	Optional Der Name des zugewiesenen Analysten. Wenn Unassign angegeben ist, wird mit der Aktion ein zugewiesener Nutzer aus der Erkennung entfernt. Wenn ein ungültiger Wert angegeben wird, wird der aktuelle Rechtsnachfolger durch die Aktion nicht geändert.

Aktionsausgaben

Die Aktion Update Identity Protection Detection liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Update Identity Protection Detection empfangen wird:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Ausgabenachrichten

Auf einer Case Wall liefert die Aktion Update Identity Protection Detection die folgenden Ausgabemeldungen:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike.	Aktion erfolgreich.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Aktion fehlgeschlagen. Bitte überprüfen Sie, ob sie richtig geschrieben wurden.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.	Aktion fehlgeschlagen. Prüfen Sie die Werte der Parameter Status und Assign to.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Update Identity Protection Detection verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Vorfall aktualisieren – eingestellt

Eingestellt: Diese Aktion wird nicht mehr unterstützt. Verwenden Sie stattdessen die Aktion Benachrichtigung aktualisieren.

Verwenden Sie die Aktion Vorfall aktualisieren, um Vorfälle in CrowdStrike zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Vorfall aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Incident ID	Pflichtangabe. Die ID des zu aktualisierenden Vorfalls.
Status	Optional. Der Status des Vorfalls. Folgende Werte sind möglich: Closed In Progress New Reopened
Assign to	Optional. Der Name oder die E-Mail-Adresse des zugewiesenen Analysten. Wenn Unassign angegeben ist, wird mit der Aktion ein Zuständiger aus dem Vorfall entfernt. Wenn Sie einen Namen angeben möchten, geben Sie den Vor- und Nachnamen des Analysten im folgenden Format an: "FIRST_NAME LAST_NAME"

Aktionsausgaben

Die Aktion Vorfall aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Vorfall aktualisieren empfangen wird:

 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }

Ausgabenachrichten

Die Aktion Vorfall aktualisieren liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated incident with ID INCIDENT_ID in CrowdStrike	Aktion erfolgreich.
Error executing action "Update Incident". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Aktion fehlgeschlagen. Bitte überprüfen Sie, ob sie richtig geschrieben wurden.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Vorfall aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

IOC-Informationen aktualisieren

Verwenden Sie die Aktion Update IOC Information, um Informationen zu benutzerdefinierten IOCs in CrowdStrike Falcon zu aktualisieren.

Bei dieser Aktion werden Hostname-Entitäten als Domain-IOCs behandelt und der Domainteil wird aus URLs extrahiert. Diese Aktion unterstützt nur die MD5- und SHA-256-Hashes.

Die Aktion IOC-Informationen aktualisieren wird für die folgenden Entitäten ausgeführt:

• Hostname
• URL
• IP-Adresse
• Hash

Aktionseingaben

Für die Aktion Update IOC Information sind die folgenden Parameter erforderlich:

Parameter
Description	Optional Eine neue Beschreibung für benutzerdefinierte IOCs.
Source	Optional Eine Quelle für benutzerdefinierte IOCs.
Expiration days	Optional Die Anzahl der Tage bis zum Ablauf. Dieser Parameter wirkt sich nur auf die Entitäten „URL“, „IP-Adresse“ und „Hostname“ aus.
Detect policy	Optional Wenn diese Option ausgewählt ist, wird eine Benachrichtigung für die identifizierten IOCs gesendet. Wenn die Option nicht ausgewählt ist, wird keine Benachrichtigung gesendet. Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Update IOC Information liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion IOC-Informationen aktualisieren erhalten:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "[e-mail]",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}

Ausgabenachrichten

Auf einer Fallpinnwand werden bei der Aktion IOC-Informationen aktualisieren die folgenden Ausgabenachrichten angezeigt:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Update IOC Information". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Update IOC Information verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

IOCs hochladen

Verwenden Sie die Aktion Upload IOCs (IOCs hochladen), um benutzerdefinierte IOCs in CrowdStrike Falcon hinzuzufügen.

Bei dieser Aktion werden Hostname-Entitäten als Domain-IOCs behandelt und der Domainteil wird aus URLs extrahiert. Diese Aktion unterstützt nur die MD5- und SHA-256-Hashes.

Die Aktion IOCs hochladen wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• Hostname
• URL
• Hash

Aktionseingaben

Für die Aktion IOCs hochladen sind die folgenden Parameter erforderlich:

Parameter
Platform	Erforderlich Eine durch Kommas getrennte Liste von Plattformen, die mit dem IOC in Verbindung stehen. Der Standardwert ist Windows,Linux,Mac. Folgende Werte sind möglich: Windows Linux Mac
Severity	Erforderlich Ein Schweregrad des IOC. Der Standardwert ist Medium. Folgende Werte sind möglich: Informational Low Medium High Critical
Comment	Optional Ein Kommentar mit mehr Kontext zum IOC.
Host Group Name	Erforderlich Der Name der Hostgruppe.
Action	Optional Eine Aktion für hochgeladene IOCs. Der Standardwert ist Detect. Folgende Werte sind möglich: Block Detect Der Wert Block gilt nur für MD5-Hashes. Die Aktion wendet die Richtlinie Detect immer auf alle anderen IOC-Typen an.
Days To Expire	Optional Die Anzahl der Tage, bevor der IOC abläuft.

Aktionsausgaben

Die Aktion IOCs hochladen liefert die folgenden Ausgaben:

Aktionsausgabetyp
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Upload IOCs liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID	Aktion erfolgreich.
Error executing action "Upload IOCs". Reason: ERROR_REASON	Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.	Aktion fehlgeschlagen. Prüfen Sie den Parameterwert Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.	Aktion fehlgeschlagen. Prüfen Sie den Parameterwert Platform.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Upload IOCs verwendet wird:

Name des Skriptergebnisses	Wert
is_success	True oder False

Connectors

Achten Sie darauf, dass Sie für jeden CrowdStrike-Connector die Mindestberechtigungen konfiguriert haben. Weitere Informationen finden Sie im Abschnitt Connector-Berechtigungen in diesem Dokument.

Eine Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

CrowdStrike-Ereignisse

Ereignisse sind Informationen, die von den Falcon-Sensoren auf Ihren Hosts erfasst werden. In CrowdStrike gibt es vier Arten von Ereignissen:

CrowdStrike-Ereignistypen
Audit-Ereignisse für Auth-Aktivitäten	Ereignisse, die jedes Mal generiert werden, wenn die Autorisierung an Endpunkten angefordert, zugelassen oder abgeschlossen wird.
Ereignisse in der Zusammenfassung der Erkennungen	Ereignisse, die generiert werden, wenn Bedrohungen auf Endpunkten erkannt werden.
Ereignisse zum Beenden von Remote-Response-Sitzungen	Ereignisse, die von Remote-Sitzungen auf Endpunkten generiert werden.
Audit-Ereignisse für Nutzeraktivitäten	Ereignisse, die generiert werden, um Aktivitäten von aktiven Nutzern auf Endpunkten zu überwachen.

Connectors nehmen Ereignisse in Google SecOps auf, um Benachrichtigungen zu erstellen und Fälle mit Ereignisdaten anzureichern. Sie können auswählen, welche Ereignisse in Google SecOps aufgenommen werden sollen: alle Ereignistypen oder ausgewählte Ereignistypen.

Eingestellt: CrowdStrike-Connector für die Erkennung

Dieser Connector wird nicht mehr aktualisiert und es werden keine Codeänderungen mehr vorgenommen.

Verwenden Sie stattdessen den CrowdStrike – Alerts Connector.

Verwenden Sie den CrowdStrike Detections Connector, um Erkennungen von CrowdStrike abzurufen.

Die dynamische Liste funktioniert mit Filtern, die von der CrowdStrike API unterstützt werden.

Mit der dynamischen Liste arbeiten

Beachten Sie bei der Arbeit mit der dynamischen Liste die folgenden Empfehlungen:

• Verwenden Sie die CrowdStrike FQL-Sprache, um den vom Connector gesendeten Filter zu ändern.
• Geben Sie für jeden Filter einen separaten Eintrag in der dynamischen Liste an.
• Wenn Sie alle Erkennungen aufnehmen möchten, die einem bestimmten Analysten zugewiesen sind, muss der Analyst den folgenden dynamischen Listeneintrag angeben:

  assigned_to_name:'ANALYST_USER_NAME'

Die dynamische Liste unterstützt die folgenden Parameter:

Unterstützte Parameter	Beschreibung
q	Eine Volltextsuche in allen Metadatenfeldern.
date_updated	Das Datum der letzten Aktualisierung der Erkennung.
assigned_to_name	Der menschenlesbare Nutzername der Person, der die Erkennung zugewiesen ist.
max_confidence	Wenn eine Erkennung mehr als ein zugehöriges Verhalten mit unterschiedlichen Konfidenzwerten hat, wird in diesem Feld der höchste Konfidenzwert aller Verhaltensweisen erfasst. Der Parameterwert kann eine beliebige Ganzzahl von 1 bis 100 sein.
detection_id	Die Erkennungs-ID, die in Verbindung mit anderen APIs wie der Detection Details API oder der Resolve Detection API verwendet werden kann.
max_severity	Wenn eine Erkennung mehr als ein zugehöriges Verhalten mit unterschiedlichen Schweregraden hat, wird in diesem Feld der höchste Schweregrad aller Verhaltensweisen erfasst. Der Parameterwert kann eine beliebige Ganzzahl von 1 bis 100 sein.
max_severity_displayname	Der in der Benutzeroberfläche verwendete Name, um den Schweregrad der Erkennung zu bestimmen. Folgende Werte sind möglich: Critical High Medium Low
seconds_to_triaged	Die Zeit, die erforderlich ist, damit sich der Status einer Erkennung von new in in_progress ändert.
seconds_to_resolved	Die Zeit, die erforderlich ist, damit sich der Status einer Erkennung von new in einen der gelösten Status (true_positive, false_positive, ignored und closed) ändert.
status	Der aktuelle Status der Erkennung. Folgende Werte sind möglich: new in_progress true_positive false_positive ignored
adversary_ids	Der von CrowdStrike Falcon Intelligence verfolgte Angreifer hat eine ID, die mit den zugeschriebenen Verhaltensweisen oder Indikatoren in einer Erkennung verknüpft ist. Diese IDs befinden sich in den Erkennungsmetadaten, die über die Detection Details API zugänglich sind.
cid	Die Kundennummer Ihrer Organisation.

Connector-Eingaben

Für den CrowdStrike-Connector für die Erkennung sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Quellfelds, das den Product Field-Namen enthält. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Quellfelds, das den Event Field-Namen enthält. Der Standardwert ist behaviors_technique.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Pflichtangabe. Die Client-ID des CrowdStrike-Kontos.
Client Secret	Pflichtangabe. Der Clientschlüssel des CrowdStrike-Kontos.
Lowest Severity Score To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Erkennungen (max. 100). Der Standardwert ist 50.
Lowest Confidence Score To Fetch	Optional. Der niedrigste Konfidenzwert der abzurufenden Erkennungen (max. 100). Der Standardwert ist 0.
Max Hours Backwards	Optional. Die Anzahl der Stunden, für die Erkennungen abgerufen werden sollen. Der Standardwert ist 1.
Max Detections To Fetch	Optional. Die Anzahl der Erkennungen, die in einer einzelnen Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 10.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat von der Integration überprüft.
Proxy Server Address	Optional. Eine Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Ein Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Ein Proxy-Passwort für die Authentifizierung.
Case Name Template	Optional. Platzhalterformat: [FIELD_NAME ].
Alert Name Template	Optional. Platzhalterformat: [FIELD_NAME ].
Padding Period	Optional. Anzahl der Stunden, die für das Padding verwendet werden (maximal 6).
Include Hidden Alerts	Optional. Wenn diese Option aktiviert ist, werden Meldungen abgerufen, die als „ausgeblendet“ gekennzeichnet sind.
Fallback Severity	Optional. Wird angewendet, wenn der Schweregrad fehlt. Standard: Informationell.
Customer ID	Optional. Die Kundennummer für mandantenfähige Umgebungen (MSSP).

Connector-Regeln

Der Connector unterstützt Proxys.

Connector-Ereignisse

Hier ein Beispiel für ein Connector-Ereignis:

{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}
    

CrowdStrike Falcon Streaming Events-Connector

Der CrowdStrike Falcon Streaming Events Connector deckt die folgenden Anwendungsfälle ab:

1. Datenaufnahme für Erkennungsereignisse.

   CrowdStrike Falcon erkennt einen Versuch, die schädliche Datei SophosCleanM.exe auf einem Endpunkt auszuführen. CrowdStrike stoppt den Vorgang und erstellt eine Benachrichtigung mit Datei-Hashes in den Ereignisdaten.

   Ein Analyst, der sich für die Dateibewertung interessiert, führt gefundene Hashes in VirusTotal aus und stellt fest, dass ein Hash bösartig ist. Im nächsten Schritt wird die schädliche Datei durch die McAfee EDR-Aktion unter Quarantäne gestellt.

2. Datenaufnahme für Audit-Ereignisse zu Nutzeraktivitäten

   Ein CrowdStrike-Nutzer, Dani, aktualisiert den Erkennungsstatus von new auf false-positive. Durch diese Nutzeraktion wird ein Ereignis mit dem Namen detection_update erstellt.

   Der Analyst führt eine Nachverfolgung durch, um zu verstehen, warum Dani die Aktion als falsch positiv markiert hat, und prüft das aufgenommene Ereignis, das die Informationen zur Identität von Dani enthält.

   Als Nächstes führt die Analystin die Active Directory-Aktion Entitäten anreichern aus, um weitere Details zum Vorfall zu erhalten und Dani leichter zu finden.

3. Datenaufnahme für Audit-Ereignisdaten zu Authentifizierungsaktivitäten

   Ein Ereignis gibt an, dass Dani ein neues Nutzerkonto erstellt und ihm Nutzerrollen zugewiesen hat.

   Um das Ereignis zu untersuchen und herauszufinden, warum der Nutzer erstellt wurde, verwendet der Analyst die Nutzer-ID von Dani, um die Active Directory-Aktion Entitäten anreichern auszuführen und die Nutzerrolle von Dani zu ermitteln. So kann er prüfen, ob Dani berechtigt ist, neue Nutzer hinzuzufügen.

4. Datenaufnahme für Remote-Antwort-Endereignisse.

   Ein Remote-Ereignis gibt an, dass Dani eine Remote-Verbindung zu einem bestimmten Host hatte und Befehle als Root-Nutzer ausgeführt hat, um auf ein Webserververzeichnis zuzugreifen.

   Um weitere Informationen zu Dani und dem beteiligten Host zu erhalten, führt der Analyst die Active Directory-Aktion aus, um sowohl den Nutzer als auch den Host anzureichern. Anhand der zurückgegebenen Informationen kann der Analyst entscheiden, Dani zu sperren, bis der Zweck der Remoteverbindung geklärt ist.

Connector-Eingaben

Für den CrowdStrike Falcon Streaming Event Connector sind die folgenden Parameter erforderlich:

Parameter
Product Field Name	Erforderlich Der Name des Quellfelds, das den Product Field-Namen enthält. Der Standardwert ist device_product.
Event Field Name	Erforderlich Der Name des Quellfelds, das den Event Field-Namen enthält. Der Standardwert ist Name.
Environment Field Name	Optional Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Alert Name Template	Optional Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps-Benachrichtigungsnamen. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Hinweis: Wenn Sie keinen Wert oder eine ungültige Vorlage angeben, verwendet der Connector den Standardnamen für Benachrichtigungen. Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
API Root	Erforderlich Der API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Erforderlich Die Client-ID des CrowdStrike-Kontos.
Client Secret	Erforderlich Der Clientschlüssel des CrowdStrike-Kontos.
Event types	Optional Eine durch Kommas getrennte Liste von Ereignistypen. Hier einige Beispiele für Ereignistypen: DetectionSummaryEvent IncidentSummaryEvent AuthActivityAuditEvent UserActivityAuditEvent RemoteResponseSessionStartEvent RemoteResponseSessionEndEvent
Max Days Backwards	Optional Die Anzahl der Tage vor dem heutigen Tag, für die Erkennungen abgerufen werden sollen. Der Standardwert ist 3.
Max Events Per Cycle	Optional Die Anzahl der Ereignisse, die in einer einzelnen Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 10.
Min Severity	Optional Ereignisse, die basierend auf dem Schweregrad des Ereignisses aufgenommen werden sollen (Erkennungsereignisse). Der Wert liegt zwischen 0 und 5. Wenn andere Ereignistypen als Erkennungen aufgenommen werden, wird ihr Schweregrad auf -1 gesetzt und dieser Filter gilt nicht für sie.
Disable Overflow	Optional Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus. Standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist. Standardmäßig nicht ausgewählt.
Script Timeout (Seconds)	Erforderlich Das Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert beträgt 60 Sekunden.
Proxy Server Address	Optional Eine Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional Ein Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional Ein Proxy-Passwort für die Authentifizierung.
Rule Generator Template	Optional Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps-Regelgenerator. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Wenn Sie keinen Wert oder eine ungültige Vorlage angeben, verwendet der Connector den Standardregelgenerator. Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
Customer ID	Optional Die Kundennummer des Mandanten, in dem der Connector ausgeführt werden soll. Zur Verwendung in Umgebungen mit mehreren Mandanten (MSSP).

Connector-Regeln

Dieser Connector unterstützt Proxys.

Dieser Connector unterstützt die dynamische Liste nicht.

CrowdStrike Identity Protection Detections-Connector

Verwenden Sie den CrowdStrike Identity Protection Detections Connector, um die Identitätsschutz-Erkennungen von CrowdStrike abzurufen. Die dynamische Liste funktioniert mit dem Parameter display_name.

Für diesen Connector ist eine Identity Protection-Lizenz erforderlich.

Connector-Eingaben

Für den CrowdStrike Identity Protection Detections Connector sind die folgenden Parameter erforderlich:

Parameter
Product Field Name	Erforderlich Der Name des Quellfelds, das den Product Field-Namen enthält. Der Standardwert ist Product Name.
Event Field Name	Erforderlich Der Name des Quellfelds, das den Event Field-Namen enthält. Der Standardwert ist behaviors_technique.
Environment Field Name	Optional Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds)	Erforderlich Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Erforderlich Der API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Erforderlich Die Client-ID des CrowdStrike-Kontos.
Client Secret	Erforderlich Der Clientschlüssel des CrowdStrike-Kontos.
Lowest Severity Score To Fetch	Optional Der niedrigste Schweregrad der abzurufenden Erkennungen. Wenn kein Wert angegeben wird, wendet der Connector diesen Filter nicht an. Der Höchstwert ist 100. Der Standardwert ist 50. Der Connector unterstützt auch die folgenden Werte für diesen Parameter: Low Medium High Critical
Lowest Confidence Score To Fetch	Optional Der niedrigste Konfidenzwert der abzurufenden Erkennungen. Wenn kein Wert angegeben wird, wendet der Connector diesen Filter nicht an. Der Höchstwert ist 100. Der Standardwert ist 0.
Max Hours Backwards	Optional Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die Erkennungen abgerufen werden sollen. Der Standardwert ist 1.
Max Detections To Fetch	Optional Die Anzahl der Erkennungen, die in einer einzelnen Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 10.
Case Name Template	Optional Falls angegeben, fügt der Connector dem Google SecOps-Ereignis einen neuen Schlüssel namens custom_case_name hinzu. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Hinweis: Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
Alert Name Template	Optional Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps-Benachrichtigungsnamen. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Hinweis: Wenn Sie keinen Wert oder eine ungültige Vorlage angeben, verwendet der Connector den Standardnamen für Benachrichtigungen. Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
Disable Overflow	Optional Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus. Standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist. Standardmäßig nicht ausgewählt.
Proxy Server Address	Optional Eine Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional Ein Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional Ein Proxy-Passwort für die Authentifizierung.
Customer ID	Optional Die Kundennummer des Mandanten, in dem der Connector ausgeführt werden soll. Zur Verwendung in Umgebungen mit mehreren Mandanten (MSSP).

Connector-Regeln

Dieser Connector unterstützt Proxys.

Connector-Ereignis

Hier ein Beispiel für ein Connector-Ereignis:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Eingestellt: CrowdStrike Incidents Connector

Eingestellt: Dieser Connector wird nicht mehr unterstützt. Verwenden Sie stattdessen den CrowdStrike Alerts Connector, um Vorfall- und Verhaltensdaten abzurufen.

Verwenden Sie den CrowdStrike Incidents Connector, um Vorfälle und zugehörige Verhaltensweisen aus CrowdStrike abzurufen.

Die dynamische Liste funktioniert mit dem Parameter incident_type.

Connector-Parameter

Für den CrowdStrike Incidents Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Quellfelds, das den Product Field-Namen enthält. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Quellfelds, das den Event Field-Namen enthält. Der Standardwert ist data_type.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn sie nicht gefunden wird, wird die Standardumgebung verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein regulärer Ausdruck, um den Wert des Umgebungsfelds zu bearbeiten. Verwenden Sie den Standardwert .*, um den Rohwert abzurufen.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit für den Python-Prozess. Der Standardwert ist 180.
API Root	Pflichtangabe. Der API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Pflichtangabe. Die Client-ID des CrowdStrike-Kontos.
Client Secret	Pflichtangabe. Der Clientschlüssel des CrowdStrike-Kontos.
Lowest Severity Score To Fetch	Optional. Der niedrigste Schweregrad der abzurufenden Vorfälle. Unterstützt Low, Medium, High, Critical oder numerische Werte bis zu 100.
Max Hours Backwards	Optional. Lookback-Window für den Abruf in Stunden. Der Standardwert ist 1.
Max Incidents To Fetch	Optional. Anzahl der Vorfälle pro Iteration. Der Höchstwert ist 100. Der Standardwert ist 10.
Use dynamic list as a blocklist	Pflichtangabe. Wenn diese Option ausgewählt ist, fungiert die dynamische Liste als Sperrliste.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, wird der Überlaufmechanismus ignoriert.
Verify SSL	Pflichtangabe. Überprüft das SSL-Zertifikat für die Verbindung.
Proxy Parameters	Optional. Umfasst Proxy Server Address, Proxy Username und Proxy Password.
Customer ID	Optional. Mandanten-ID für Umgebungen mit mehreren Mandanten (MSSP).

Connector-Regeln

Dieser Connector unterstützt Proxys.

Connector-Ereignisse

Der Connector unterstützt zwei Ereignistypen: vorfallbasierte und verhaltensbasierte Ereignisse.

Beispiel: Vorfallbasiertes Ereignis

 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

Beispiel: Verhaltensbasiertes Ereignis

 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike – Alerts Connector

Verwenden Sie den CrowdStrike – Alerts Connector, um Benachrichtigungen von CrowdStrike abzurufen. Die dynamische Liste funktioniert mit dem Parameter display_name.

Verwenden Sie den Identity Protection Detections Connector, um Erkennungen zum Identitätsschutz abzurufen.

Connector-Eingaben

Für den CrowdStrike – Alerts Connector sind die folgenden Parameter erforderlich:

Parameter
Product Field Name	Erforderlich Der Name des Quellfelds, das den Product Field-Namen enthält. Der Standardwert ist Product Name.
Event Field Name	Erforderlich Der Name des Quellfelds, das den Event Field-Namen enthält. Der Standardwert ist product.
Environment Field Name	Optional Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet. Der Standardwert ist "".
Environment Regex Pattern	Optional Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds)	Erforderlich Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Erforderlich Der API-Stamm der CrowdStrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Erforderlich Die Client-ID des CrowdStrike-Kontos.
Client Secret	Erforderlich Der Clientschlüssel des CrowdStrike-Kontos.
Case Name Template	Optional Falls angegeben, fügt der Connector dem Google SecOps-Ereignis einen neuen Schlüssel namens custom_case_name hinzu. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Hinweis: Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
Alert Name Template	Optional Wenn angegeben, verwendet der Connector diesen Wert für den Google SecOps-Benachrichtigungsnamen. Sie können Platzhalter im folgenden Format angeben: [FIELD_NAME], z. B. Phishing – [event_mailbox]. Hinweis: Wenn Sie keinen Wert oder eine ungültige Vorlage angeben, verwendet der Connector den Standardnamen für Benachrichtigungen. Der Connector verwendet das erste Google SecOps-Ereignis für Platzhalter. Dieser Parameter lässt nur Schlüssel mit einem Stringwert zu.
Lowest Severity Score To Fetch	Optional Der niedrigste Schweregrad der abzurufenden Vorfälle. Wenn kein Wert angegeben ist, werden Vorfälle aller Schweregrade aufgenommen. Der Höchstwert ist 100. Der Connector unterstützt auch die folgenden Werte für diesen Parameter: Niedrig Mittel Hoch Kritisch In der CrowdStrike-Benutzeroberfläche wird derselbe Wert durch 10 geteilt dargestellt.
Max Hours Backwards	Optional Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, ab dem Vorfälle abgerufen werden sollen. Der Standardwert ist 1.
Max Alerts To Fetch	Optional Die Anzahl der Benachrichtigungen, die in einer einzelnen Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 100. Der Standardwert ist 10.
Use dynamic list as a blocklist	Erforderlich Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste. Standardmäßig nicht ausgewählt.
Disable Overflow	Optional Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus. Standardmäßig nicht ausgewählt.
Verify SSL	Erforderlich Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist. Standardmäßig nicht ausgewählt.
Proxy Server Address	Optional Eine Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional Ein Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional Ein Proxy-Passwort für die Authentifizierung.
Customer ID	Optional Die Kundennummer des Mandanten, in dem der Connector ausgeführt werden soll. Zur Verwendung in Umgebungen mit mehreren Mandanten (MSSP).

Connector-Regeln

Dieser Connector unterstützt Proxys.

Connector-Ereignisse

Hier ein Beispiel für ein Ereignis, das auf Benachrichtigungen basiert:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Crowdstrike Falcon – Meldungen synchronisieren

Verwenden Sie den Job Crowdstrike Falcon – Sync Alerts, um Kommentare und Status bidirektional zwischen Google SecOps und Crowdstrike zu synchronisieren.

Jobanforderungen

Damit der Job die richtigen Daten identifiziert und synchronisiert, müssen die folgenden Bedingungen erfüllt sein:

• Der Google SecOps-Fall muss das Tag Crowdstrike Alert enthalten.

• Wenn die Benachrichtigung nicht vom Alerts Connector oder vom Identity Protections Detection Connector stammt, müssen Sie einen Alert_ID-Benachrichtigungskontextwert für den Job hinzufügen, um den richtigen Crowdstrike-Eintrag zu identifizieren.

Betriebslogik

Der Job synchronisiert Daten in zwei Phasen. In der ersten Phase werden Crowdstrike-Daten mit Google SecOps-Benachrichtigungen synchronisiert. In der zweiten Phase werden die Google SecOps-Benachrichtigungsdaten mit Crowdstrike-Benachrichtigungen synchronisiert.

Der Job verwendet Max Hours Backwards für die erste Iteration. Bei allen nachfolgenden Anfragen verwendet der Job die start_time der zuletzt verarbeiteten Benachrichtigung.

Logik für die Synchronisierung von Kommentaren

Der Job verwendet die last_update_time, um Kommentare zu filtern und doppelte Einträge zu vermeiden. Synchronisierte Kommentare verwenden die folgenden Strukturen:

• Von Crowdstrike gesendet: Crowdstrike {ticket_id}: {comment}

• Von Google SecOps gesendet: Google SecOps {case_id}: {comment}

Kommentare zum Schließen von Fällen in Google SecOps werden ebenfalls als Kommentare mit Crowdstrike synchronisiert.

Zuordnung von Status und Urteil

Wenn eine Benachrichtigung in Google SecOps geschlossen wird, aktualisiert der Job die entsprechende Crowdstrike-Benachrichtigung mit dem Status Closed. Der Job wendet auch die folgende Zuordnung für Analystenurteile an:

• Wenn der Grund für die Schließung Malicious ist, wird das Urteil von CrowdStrike auf True Positive gesetzt.

• Wenn der Grund für die Schließung Not Malicious ist, wird das Crowdstrike-Urteil auf False Positive gesetzt.

• Bei allen anderen Schließungsgründen wird der Status ohne Urteil auf Closed gesetzt.

Jobparameter

Für den Job Crowdstrike Falcon – Meldungen synchronisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Environment Name	Pflichtangabe. Der Name der Umgebung, in der der Job nach Benachrichtigungen sucht. Der Standardwert ist Default Environment.
API Root	Pflichtangabe. Der API-Stamm der Crowdstrike-Instanz. Der Standardwert ist https://api.crowdstrike.com.
Client ID	Pflichtangabe. Die Client-ID des CrowdStrike-Kontos.
Client Secret	Pflichtangabe. Der Clientschlüssel des Crowdstrike-Kontos.
Max Hours Backwards	Pflichtangabe. Die Anzahl der Stunden vor der aktuellen Zeit, für die Benachrichtigungen während der ersten Jobiteration synchronisiert werden sollen. Der Standardwert ist 24.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Crowdstrike-Server hergestellt wird. Standardmäßig aktiviert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten