Integra CrowdStrike Falcon con Google SecOps
En este documento, se explica cómo integrar CrowdStrike Falcon en Google Security Operations.
Esta integración usa uno o más componentes de código abierto. Puedes descargar una copia del código fuente completo de esta integración desde el bucket de Cloud Storage.
Casos de uso
En la plataforma de Google SecOps, la integración de CrowdStrike Falcon resuelve los siguientes casos de uso:
Contención automatizada de malware: Usa las funciones de la plataforma de Google SecOps para poner en cuarentena automáticamente el extremo afectado, recuperar el hash del archivo para un análisis más detallado y evitar la propagación del malware. La contención automatizada de malware se activa cuando un correo electrónico de phishing activa una alerta de CrowdStrike Falcon por una descarga de archivo sospechosa.
Respuesta ante incidentes acelerada: Usa Google SecOps para recopilar datos contextuales, como árboles de procesos y conexiones de red, aislar el host comprometido y crear un ticket para la investigación.
Búsqueda de amenazas e investigación: Usa las funciones de la plataforma de Google SecOps para consultar a CrowdStrike Falcon sobre acciones específicas de los usuarios, modificaciones de archivos y conexiones de red durante un período definido. La búsqueda y la investigación de amenazas permiten que tus analistas de seguridad investiguen una posible amenaza interna y analicen una actividad histórica de un extremo mientras optimizan el proceso de investigación.
Respuesta y corrección de phishing: Usa CrowdStrike Falcon y la plataforma de Google SecOps para analizar los archivos adjuntos de correo electrónico, abrirlos en un entorno de zona de pruebas y bloquear automáticamente la dirección de correo electrónico del remitente si se detecta actividad maliciosa.
Gestión de vulnerabilidades: Usa las capacidades de la plataforma de Google SecOps para crear tickets automáticamente para cada sistema vulnerable, priorizarlos según la gravedad y el valor del recurso, y activar flujos de trabajo de aplicación de parches automatizados. La administración de vulnerabilidades te ayuda a identificar una vulnerabilidad crítica en varios extremos.
Antes de comenzar
Antes de configurar la integración en Google SecOps, completa los siguientes pasos:
Configura el cliente de la API de CrowdStrike Falcon.
Configura los permisos de las acciones.
Configura los permisos del conector.
Configura el cliente de API de CrowdStrike Falcon
Para definir un cliente de API de CrowdStrike y ver, crear o modificar clientes o claves de API, debes tener un rol de FalconAdministrator.
Los secretos solo se muestran cuando creas un cliente de API nuevo o restableces el cliente de API.
Para configurar el cliente de la API de CrowdStrike Falcon, completa los siguientes pasos:
- En la IU de Falcon, navega a Asistencia y recursos > Recursos y herramientas > Clientes y claves de API. En esta página, puedes encontrar clientes existentes, agregar clientes de API nuevos o ver el registro de auditoría.
- Haz clic en Crear cliente de API.
- Proporciona un nombre para tu nuevo cliente de API.
- Selecciona los permisos de la API adecuados.
Haz clic en Crear. Aparecerán los valores de ID de cliente y Secreto del cliente.
Esta es la única vez que verás el valor del secreto del cliente. Asegúrate de almacenarla de forma segura. Si pierdes el secreto del cliente, restablece el cliente de API y actualiza todas las aplicaciones que dependen del secreto del cliente con credenciales nuevas.
Para obtener más detalles sobre el acceso a la API de CrowdStrike, consulta la guía Obtén acceso a la API de CrowdStrike en el blog de CrowdStrike.
Configura los permisos de acción
Consulta los permisos mínimos para las acciones, como se indica en la siguiente tabla:
| Acción | Permisos necesarios |
|---|---|
| Agregar comentario de alerta | Alerts.ReadAlerts.Write |
| Agregar un comentario a la detección | Detections.ReadDetection.Write |
| Agrega un comentario sobre la detección de Identity Protection | Alerts.ReadAlerts.Write |
| Agrega un comentario sobre el incidente | Incidents.Write |
| Detección de cierre | Detections.ReadDetection.Write |
| Contener extremo | Hosts.ReadHosts.Write |
| Borra el IOC | IOC Management.ReadIOC Management.Write |
| Descargar archivo | Hosts.ReadReal time response.ReadReal time response.Write |
| Ejecutar comando | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write* para comandos con privilegios completos.
|
| Obtén detalles de la alerta | Alerts.Read |
| Obtener el desplazamiento del evento | Event streams.Read |
| Obtener hosts por IOC | No disponible: Obsoleto |
| Obtén información del host | Hosts.Read |
| Obtener el nombre del proceso por IOC | No disponible: Obsoleto |
| Ocultar hosts | Hosts.ReadHosts.Write |
| Extremo contenido de Lift | Hosts.ReadHosts.Write |
| Enumera hosts | Hosts.Read |
| Enumera las vulnerabilidades del host | Hosts.ReadSpotlight vulnerabilities.Read |
| Enumera los IOC subidos | IOC Management.Read |
| Análisis on demand | On-demand scans (ODS).ReadOn-demand scans (ODS).Write |
| Ping | Hosts.Read |
| Ejecutar secuencia de comandos | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write |
| Eventos de búsqueda | NGSIEM.ReadNGSIEM.Write |
| Enviar archivo | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| Enviar URL | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| Actualizar alerta | Alerts.ReadAlerts.Write |
| Actualiza la detección | Detections.ReadDetection.WriteUser management.Read |
| Actualizar la detección de la protección de identidad | Alerts.ReadAlerts.Write |
| Actualizar incidente | Incidents.Write |
| Actualiza la información de IOC | IOC Management.ReadIOC Management.Write |
| Sube IOCs | IOC Management.ReadIOC Management.Write |
Configura los permisos del conector
Consulta los permisos mínimos para los conectores, como se indica en la siguiente tabla:
| Conector | Permisos necesarios |
|---|---|
| Conector de alertas de CrowdStrike | Alerts.Read |
| Conector de CrowdStrike Detections | Detection.Read |
| Conector de eventos de transmisión de CrowdStrike Falcon | Event streams.Read |
| Conector de detecciones de CrowdStrike Identity Protection | Alerts.Read |
| Conector de incidentes de CrowdStrike | Incidents.Read |
Extremos
La integración de CrowdStrike Falcon interactúa con los siguientes endpoints de la API de CrowdStrike Falcon:
Endpoints de API generales:
/oauth2/token
Hosts y dispositivos:
/devices/entities/devices/v1/devices/entities/devices-actions/v2
Detecciones y eventos:
/detections/entities/detections/v2/detections/entities/summaries/GET/v1/protection/entities/detections/v1/humio/api/v1/repositories/{repository}/queryjobs/humio/api/v1/repositories/{repository}/queryjobs/{job_id}
Indicadores de compromiso (IoC):
/intel/entities/indicators/v1/intel/queries/devices/v1
Vulnerabilidades:
/devices/combined/devices/vulnerabilities/v1
Respuesta y contención:
/respond/entities/command-queues/v1/respond/entities/extracted-files/v1
Incidentes:
/incidents/entities/incidents/GET/v1/incidents/entities/incidents/comments/GET/v1/incidents/entities/incidents/GET/v1
Análisis de archivos y URLs:
/malware-uploads/entities/submissions/v2/url/entities/scans/v1
Parámetros de integración
Para que la integración funcione correctamente, se requiere una versión premium de CrowdStrike Falcon con todas las funciones. Algunas acciones no funcionan con una versión básica de CrowdStrike Falcon.
La integración de CrowdStrike Falcon requiere los siguientes parámetros:
| Parámetros | |
|---|---|
API Root |
Una raíz de API de la instancia de CrowdStrike. El valor predeterminado es |
Client API ID |
Obligatorio Es el ID de cliente de la API de CrowdStrike. |
Client API Secret |
Obligatorio Es el secreto del cliente para la API de CrowdStrike. |
Verify SSL |
Si se selecciona, la integración verifica si el certificado SSL para conectarse al servidor de CrowdStrike Falcon es válido. No se selecciona de forma predeterminada. |
Customer ID |
Optional Es el ID de cliente del usuario en el que se ejecutará la integración. Para usar en entornos multiusuario (MSSP). |
Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.
Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.
Acciones
Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.
Antes de continuar con la configuración de la integración, establece los permisos mínimos necesarios para cada elemento de integración. Para obtener más detalles, consulta Permisos de acciones.
Agregar comentario de alerta
Usa la acción Agregar comentario de alerta para agregar un comentario a una alerta en CrowdStrike Falcon.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Agregar comentario de alerta requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Alert |
Obligatorio Es el ID de la alerta que se actualizará. |
Comment |
Obligatorio Es el comentario que se agregará a la alerta. |
Resultados de la acción
La acción Agregar comentario de alerta proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Agregar comentario de alerta proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully added comment to the alert with ID
ALERT_ID in CrowdStrike |
La acción se realizó correctamente. |
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Agregar comentario de alerta:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Agrega un comentario a la detección (obsoleto)
Usa la acción Agregar comentario a la detección para agregar un comentario a la detección en CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
La acción Agregar comentario a la detección requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Detection ID |
Obligatorio. Es el ID de la detección a la que se agregará un comentario. |
Comment |
Obligatorio. Es el comentario que se agregará a la detección. |
Resultados de la acción
La acción Agregar comentario a la detección proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Agregar comentario a la detección:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Agrega un comentario sobre la detección de Identity Protection
Usa la acción Add Identity Protection Detection Comment para agregar un comentario a la detección de Identity Protection en CrowdStrike.
Esta acción requiere una licencia de Identity Protection.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Agregar comentario de detección de Identity Protection requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Detection ID |
Obligatorio
Es el ID de la detección que se actualizará. |
Comment |
Obligatorio
Es el comentario que se agregará a la detección. |
Resultados de la acción
La acción Agregar comentario de detección de Identity Protection proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Agregar comentario de detección de Identity Protection proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully added comment to the
identity protection detection with ID
DETECTION_ID in CrowdStrike |
La acción se realizó correctamente. |
Error executing action "Add Identity
Protection Detection Comment". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Add Identity
Protection Detection Comment". Reason: identity protection detection with
ID DETECTION_ID wasn't found in
CrowdStrike. Please check the
spelling. |
No se pudo realizar la acción. Verifica si están bien escritas. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Add Identity Protection Detection Comment:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Agregar comentario de incidente (obsoleto)
Usa la acción Agregar comentario de incidente para agregar un comentario a un incidente en CrowdStrike.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Agregar comentario al incidente requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Incident ID |
Obligatorio. Es el ID del incidente que se actualizará. |
Comment |
Obligatorio. Es el comentario que se agregará al incidente. |
Resultados de la acción
La acción Agregar comentario al incidente proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Agregar comentario de incidente proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully added comment to the
incident INCIDENT_ID in CrowdStrike
|
La acción se realizó correctamente. |
Error executing action "Add Incident Comment". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Add Incident Comment". Reason: incident
with ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
No se pudo realizar la acción. Verifica si están bien escritas. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Agregar comentario al incidente:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Detección de cierre (obsoleta)
Usa la acción Cerrar detección para cerrar una detección de CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
La acción Close Detection requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Detection ID |
Obligatorio. Es el ID de la detección que se cerrará. |
Hide Detection |
Es opcional. Si se selecciona, la acción oculta la detección en la IU. Esta opción se selecciona de forma predeterminada. |
Resultados de la acción
La acción Cerrar detección proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Cerrar detección:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Contener extremo
Usa la acción Contener extremo para contener el extremo en CrowdStrike Falcon.
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
Entradas de acción
La acción Contener extremo requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Fail If Timeout |
Optional
Si se selecciona y no se contienen todos los extremos, la acción falla. Esta opción se selecciona de forma predeterminada. |
Resultados de la acción
La acción Contener endpoint proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento de entidades | Disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Enriquecimiento de entidades
La acción Contener extremo admite la siguiente lógica de enriquecimiento de entidades:
| Campo de enriquecimiento | Lógica |
|---|---|
status |
Se devuelve si existe en el resultado JSON |
modified_timestamp |
Se devuelve si existe en el resultado JSON |
major_version |
Se devuelve si existe en el resultado JSON |
policies |
Se devuelve si existe en el resultado JSON |
config_id_platform |
Se devuelve si existe en el resultado JSON |
bios_manufacturer |
Se devuelve si existe en el resultado JSON |
system_manufacturer |
Se devuelve si existe en el resultado JSON |
device_policies |
Se devuelve si existe en el resultado JSON |
meta |
Se devuelve si existe en el resultado JSON |
pointer_size |
Se devuelve si existe en el resultado JSON |
last_seen |
Se devuelve si existe en el resultado JSON |
agent_local_time |
Se devuelve si existe en el resultado JSON |
first_seen |
Se devuelve si existe en el resultado JSON |
service_pack_major |
Se devuelve si existe en el resultado JSON |
slow_changing_modified_timestamp |
Se devuelve si existe en el resultado JSON |
service_pack_minor |
Se devuelve si existe en el resultado JSON |
system_product_name |
Se devuelve si existe en el resultado JSON |
product_type_desc |
Se devuelve si existe en el resultado JSON |
build_number |
Se devuelve si existe en el resultado JSON |
cid |
Se devuelve si existe en el resultado JSON |
local_ip |
Se devuelve si existe en el resultado JSON |
external_ip |
Se devuelve si existe en el resultado JSON |
hostname |
Se devuelve si existe en el resultado JSON |
config_id_build |
Se devuelve si existe en el resultado JSON |
minor_version |
Se devuelve si existe en el resultado JSON |
platform_id |
Se devuelve si existe en el resultado JSON |
os_version |
Se devuelve si existe en el resultado JSON |
config_id_base |
Se devuelve si existe en el resultado JSON |
provision_status |
Se devuelve si existe en el resultado JSON |
mac_address |
Se devuelve si existe en el resultado JSON |
bios_version |
Se devuelve si existe en el resultado JSON |
platform_name |
Se devuelve si existe en el resultado JSON |
agent_load_flags |
Se devuelve si existe en el resultado JSON |
device_id |
Se devuelve si existe en el resultado JSON |
product_type |
Se devuelve si existe en el resultado JSON |
agent_version |
Se devuelve si existe en el resultado JSON |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Contener extremo:
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6",
"policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "3",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": ""
},
"prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{
"Version":"12765"
},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name": "Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "123456789abcdef123456789abcdef12",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "",
"config_id_build": "example-id",
"minor_version": "3",
"platform_id": "x",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-config",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"Agent_load_flags":"1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
Mensajes de salida
La acción Contener extremo proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Contain
Endpoint". Reason: ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Contain
Endpoint". Reason: the following endpoints initiated containment, but were
not able to finish it during action execution:
ENTITY_ID
|
No se pudo realizar la acción. Verifica el estado del extremo y
el valor del parámetro |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Contener extremo:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Borra el IOC
Usa la acción Borrar IOC para borrar los IOC personalizados en CrowdStrike Falcon.
Esta acción trata las entidades de nombre de host como IOC de dominio y extrae la parte del dominio de las URLs. Esta acción solo admite los hashes MD5 y SHA-256.
La acción Borrar IOC se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
- URL
- Hash
Entradas de acción
Ninguno
Resultados de la acción
La acción Borrar IOC proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Borrar IOC:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Mensajes de salida
En un muro de casos, la acción Borrar IOC proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Delete IOC".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Descargar archivo
Usa la acción Descargar archivo para descargar archivos de los hosts en CrowdStrike Falcon.
Esta acción requiere que el nombre de archivo y la dirección IP o una entidad de nombre de host estén dentro del alcance de la alerta de Google SecOps.
Puedes encontrar el archivo descargado en un paquete ZIP protegido por contraseña. Para acceder
al archivo, proporciona la siguiente contraseña: infected.
La acción Descargar archivo se ejecuta en las siguientes entidades:
- Nombre del archivo
- Dirección IP
- Host
Entradas de acción
La acción Descargar archivo requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Download Folder Path |
Obligatorio
Es la ruta de acceso a la carpeta en la que se almacena el archivo descargado. El formato depende de tu implementación:
|
Overwrite |
Obligatorio
Si se selecciona, la acción reemplaza el archivo con el mismo nombre. No se selecciona de forma predeterminada. |
Resultados de la acción
La acción Descargar archivo proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de la entidad | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla de la entidad
La acción Descargar archivo proporciona la siguiente tabla de entidades:
| Entidad | |
|---|---|
filepath |
Es la ruta de acceso absoluta al archivo. |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Descargar archivo:
{
"absolute_paths": ["/opt/file_1", "opt_file_2"]
}
Mensajes de salida
La acción Descargar archivo proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Download
File". Reason: ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Download
File". Reason: file with path PATH
already exists. Please delete the file or set "Overwrite" to true.
|
No se pudo realizar la acción. Verifica el valor del parámetro |
Waiting for results for the following
entities: ENTITY_ID |
Mensaje asíncrono. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Descargar archivo:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Ejecutar comando
Usa la acción Ejecutar comando para ejecutar comandos en los hosts de CrowdStrike Falcon.
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
Entradas de acción
La acción Ejecutar comando requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Command |
Obligatorio
Especifica qué comando se ejecutará en los hosts. |
Admin Command |
Optional
Si se selecciona, la acción ejecuta comandos con permisos de administrador. Esto es necesario para comandos específicos, como No se selecciona de forma predeterminada. |
Hostname |
Optional
Es una lista separada por comas de los nombres de host en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Queue Offline |
Optional
Si se selecciona, los comandos orientados a hosts sin conexión se ponen en cola y se ejecutan una vez que el host se vuelve a conectar a la red. No se selecciona de forma predeterminada. |
Resultados de la acción
La acción Ejecutar comando proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
En un muro de casos, la acción Ejecutar comando proporciona los siguientes mensajes de resultado:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully executed command
"COMMAND" on the following
endpoints in CrowdStrike Falcon:
ENTITY_ID |
La acción se realizó correctamente. |
Error executing action "Execute Command". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Waiting for results for the following
entities: ENTITY_ID |
Mensaje asíncrono. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ejecutar comando:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Obtén detalles de la alerta
Usa la acción Obtener detalles de la alerta para recuperar los detalles de una alerta en CrowdStrike Falcon.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Obtener detalles de la alerta requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Alert ID |
Obligatorio. Es el ID único de la alerta de la que se recuperarán los detalles. |
Resultados de la acción
La acción Obtener detalles de la alerta proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se muestran los resultados en JSON que se reciben cuando se usa la acción Get Alert Details:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"assigned_to_uid": "analyst@example.com",
"cid": "CID_VALUE",
"composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"EDGE_ID_1_OBFUSCATED_STRING",
"EDGE_ID_2_OBFUSCATED_STRING",
"EDGE_ID_3_OBFUSCATED_STRING"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"idpind:CID_VALUE:IDP_DETECTION_ID",
"ind:CID_VALUE:DETECTION_ID",
"uid:CID_VALUE:SOURCE_SID_VALUE"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
"id": "ind:CID_VALUE:DETECTION_ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.LOCAL",
"source_account_name": "TEST_MAILBOX",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Mensajes de salida
La acción Obtener detalles de la alerta puede devolver los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Get Alert Details". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Obtener detalles de la alerta:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Obtener el desplazamiento del evento
Usa la acción Obtener desplazamiento de eventos para recuperar el desplazamiento de eventos que usa el conector de eventos de transmisión.
Esta acción inicia el procesamiento de los eventos de los últimos 30 días.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Get Event Offset requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Max Events To Process |
Obligatorio
Es la cantidad de eventos que la acción debe procesar a partir de los últimos 30 días. El valor predeterminado es |
Resultados de la acción
La acción Get Event Offset proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener desplazamiento de evento:
{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
Mensajes de salida
La acción Obtener desplazamiento de evento proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully retrieved event offset in CrowdStrike Falcon.
|
La acción se realizó correctamente. |
Error executing action "Get Event
Offset". Reason: ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Obtener compensación de evento:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Obtén información del host
Usa la acción Obtener información del host para recuperar información sobre el nombre de host de CrowdStrike Falcon.
Esta acción se ejecuta en las siguientes entidades:
- Nombre de host
- Dirección IP
Entradas de acción
La acción Obtener información del host requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Hostname |
Optional
Es una lista separada por comas de los nombres de host que se ocultarán en CrowdStrike Falcon. La acción procesa los valores de entrada proporcionados en este parámetro y las entidades de nombre de host y dirección IP adjuntas al caso. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Customer ID |
Optional
Es el ID de cliente (CID) único de CrowdStrike que se usa para orientar los anuncios a un usuario específico. Este parámetro es obligatorio en Falcon Flight Control o en entornos de múltiples usuarios para realizar la acción en un CID secundario específico. |
Resultados de la acción
La acción Obtener información del host proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento de entidades | Disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Enriquecimiento de entidades
La acción Obtener información del host admite la siguiente lógica de enriquecimiento de entidades:
| Campo de enriquecimiento | Lógica |
|---|---|
modified_timestamp |
Se devuelve si existe en el resultado JSON |
major_version |
Se devuelve si existe en el resultado JSON |
site_name |
Se devuelve si existe en el resultado JSON |
platform_id |
Se devuelve si existe en el resultado JSON |
config_id_platform |
Se devuelve si existe en el resultado JSON |
system_manufacturer |
Se devuelve si existe en el resultado JSON |
meta |
Se devuelve si existe en el resultado JSON |
first_seen |
Se devuelve si existe en el resultado JSON |
service_pack_minor |
Se devuelve si existe en el resultado JSON |
product_type_desc |
Se devuelve si existe en el resultado JSON |
build_number |
Se devuelve si existe en el resultado JSON |
hostname |
Se devuelve si existe en el resultado JSON |
config_id_build |
Se devuelve si existe en el resultado JSON |
minor_version |
Se devuelve si existe en el resultado JSON |
os_version |
Se devuelve si existe en el resultado JSON |
provision_status |
Se devuelve si existe en el resultado JSON |
mac_address |
Se devuelve si existe en el resultado JSON |
bios_version |
Se devuelve si existe en el resultado JSON |
agent_load_flags |
Se devuelve si existe en el resultado JSON |
status |
Se devuelve si existe en el resultado JSON |
bios_manufacturer |
Se devuelve si existe en el resultado JSON |
machine_domain |
Se devuelve si existe en el resultado JSON |
agent_local_time |
Se devuelve si existe en el resultado JSON |
slow_changing_modified_timestamp |
Se devuelve si existe en el resultado JSON |
service_pack_major |
Se devuelve si existe en el resultado JSON |
device_id |
Se devuelve si existe en el resultado JSON |
system_product_name |
Se devuelve si existe en el resultado JSON |
product_type |
Se devuelve si existe en el resultado JSON |
local_ip |
Se devuelve si existe en el resultado JSON |
external_ip |
Se devuelve si existe en el resultado JSON |
cid |
Se devuelve si existe en el resultado JSON |
platform_name |
Se devuelve si existe en el resultado JSON |
config_id_base |
Se devuelve si existe en el resultado JSON |
last_seen |
Se devuelve si existe en el resultado JSON |
pointer_size |
Se devuelve si existe en el resultado JSON |
agent_version |
Se devuelve si existe en el resultado JSON |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener información del host:
[
{
"EntityResult": [
{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Default-First-Site-Name",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {
"version": "1111"
},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "111",
"hostname": "name",
"config_id_build": "8104",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "64-00-6a-2a-43-3f",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Domain name",
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0",
"device_id": "example-id",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "example-cid",
"platform_name": "Windows",
"config_id_base": "65994753",
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0",
"recent_logins": [
{
"user_name": "test",
"login_time": "2022-08-10T07:36:38Z"
},
{
"user_name": "test",
"login_time": "2022-08-10T07:36:35Z"
}
],
"online_status": "offline"
}
],
"Entity": "198.51.100.255"
}
]
Mensajes de salida
La acción Obtener información del host proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Get Host
Information". Reason: ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Obtener información del host:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Obtener hosts por IOC (obsoleto)
Enumera los hosts relacionados con los IOC en CrowdStrike Falcon. Entidades compatibles:
Nombre de host, URL, dirección IP y hash.
Nota: Las entidades de nombre de host se tratan como IOC de dominio. La acción
extrae la parte del dominio de las URLs. Solo se admiten los hashes MD5 y
SHA-256.
Entidades
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
- URL
- Hash
Entradas de acción
N/A
Resultados de la acción
Resultado de secuencia de comandos
| Nombre del resultado de la secuencia de comandos | Opciones de valor | Ejemplo |
|---|---|---|
| is_success | Verdadero o falso | is_success:False |
Resultado de JSON
{
"hash":
[{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Example-Name",
"platform_id": "ExampleID",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {"version": "49622"},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "14393",
"hostname": "name",
"config_id_build": "ExampleID",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Example Domain",
"Device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2018-12-11T23: 09: 18.071417837Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2018-12-11T23: 08: 38.16990705Z",
"policy_id": "Example ID"
}
},
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "123456789abcdef123456789abcdef12",
"platform_name": "Windows",
"config_id_base": "ExampleID",
"policies":
[{
"applied": true,
"applied_date": "2019-01-02T22: 45: 21.315392338Z",
"settings_hash": "18db1203",
"policy_type": "prevention",
"assigned_date": "2019-01-02T22: 45: 11.214774996Z",
"policy_id": "Example ID"
}],
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0"
}]
}
Enriquecimiento de entidades
| Campo de enriquecimiento | Lógica |
|---|---|
| modified_timestamp | Devuelve si existe en el resultado JSON |
| major_version | Devuelve si existe en el resultado JSON |
| site_name | Devuelve si existe en el resultado JSON |
| platform_id | Devuelve si existe en el resultado JSON |
| config_id_platform | Devuelve si existe en el resultado JSON |
| system_manufacturer | Devuelve si existe en el resultado JSON |
| meta | Devuelve si existe en el resultado JSON |
| first_seen | Devuelve si existe en el resultado JSON |
| service_pack_minor | Devuelve si existe en el resultado JSON |
| product_type_desc | Devuelve si existe en el resultado JSON |
| build_number | Devuelve si existe en el resultado JSON |
| Nombre de host | Devuelve si existe en el resultado JSON |
| config_id_build | Devuelve si existe en el resultado JSON |
| minor_version | Devuelve si existe en el resultado JSON |
| os_version | Devuelve si existe en el resultado JSON |
| provision_status | Devuelve si existe en el resultado JSON |
| mac_address | Devuelve si existe en el resultado JSON |
| bios_version | Devuelve si existe en el resultado JSON |
| agent_load_flags | Devuelve si existe en el resultado JSON |
| estado | Devuelve si existe en el resultado JSON |
| bios_manufacturer | Devuelve si existe en el resultado JSON |
| machine_domain | Devuelve si existe en el resultado JSON |
| Device_policies | Devuelve si existe en el resultado JSON |
| agent_local_time | Devuelve si existe en el resultado JSON |
| slow_changing_modified_timestamp | Devuelve si existe en el resultado JSON |
| service_pack_major | Devuelve si existe en el resultado JSON |
| system_product_name | Devuelve si existe en el resultado JSON |
| product_type | Devuelve si existe en el resultado JSON |
| local_ip | Devuelve si existe en el resultado JSON |
| external_ip | Devuelve si existe en el resultado JSON |
| CID | Devuelve si existe en el resultado JSON |
| platform_name | Devuelve si existe en el resultado JSON |
| config_id_base | Devuelve si existe en el resultado JSON |
| políticas | Devuelve si existe en el resultado JSON |
| last_seen | Devuelve si existe en el resultado JSON |
| pointer_size | Devuelve si existe en el resultado JSON |
| agent_version | Devuelve si existe en el resultado JSON |
Estadística de entidades
N/A
Muro de casos
| Tipo de resultado | Valor/Descripción | Tipo |
|---|---|---|
| Mensaje de salida* | La acción no debería fallar ni detener la ejecución de una guía: Si se ejecuta correctamente y se encuentra al menos un host relacionado con los IOC proporcionados (is_success=true): "Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon." Si no se encuentran hosts relacionados (is_success=false): "No hosts were related to the provided IOCs in CrowdStrike Falcon." La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico: "Error executing action "{action name}". Motivo: {traceback}." |
General |
Obtener el nombre del proceso por IOC (obsoleto)
Recupera los procesos relacionados con los IOC y los dispositivos proporcionados en CrowdStrike
Falcon. Entidades admitidas: nombre de host, URL, dirección IP y hash.
Nota: Las entidades de nombre de host se tratan como IOC de dominio. La acción
extrae la parte del dominio de las URLs. Solo se admiten los hashes MD5, SHA-1 y
SHA-256. Las entidades de dirección IP se tratan como IOC.
Parámetros
| Nombre del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
|---|---|---|---|---|
| Nombres de los dispositivos | 11 | N/A | Sí | Especifica una lista separada por comas de los dispositivos para los que deseas recuperar procesos relacionados con entidades. |
Fecha de ejecución
Esta acción se ejecuta en las siguientes entidades:
- Nombre de host
- URL
- Hash
Resultados de la acción
Resultado de secuencia de comandos
| Nombre del resultado de la secuencia de comandos | Opciones de valor | Ejemplo |
|---|---|---|
| is_success | Verdadero o falso | is_success:False |
Resultado de JSON
{
"EntityResult":
[{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
}],
"Entity": "example_entity"
}
Enriquecimiento de entidades
| Nombre del campo de enriquecimiento | Lógica: Cuándo aplicarla |
|---|---|
| Nombre del proceso | Devuelve si existe en el resultado JSON |
| Indicador | Devuelve si existe en el resultado JSON |
| Nombre del host | Devuelve si existe en el resultado JSON |
Estadísticas de entidades
N/A
Muro de casos
| Tipo de resultado | Valor/Descripción | Tipo |
|---|---|---|
| Mensaje de salida* | La acción no debería fallar ni detener la ejecución de una guía: Si se encontraron procesos relacionados con entidades para al menos un extremo (is_success=true): "Se recuperaron correctamente los procesos relacionados con los IOC en los siguientes extremos de CrowdStrike Falcon: {device name}". Si no se encuentran procesos para al menos un extremo o no se encuentra el dispositivo (is_success=true): "No se encontraron procesos relacionados en los siguientes extremos en CrowdStrike Falcon: {device name}." Si no se encuentran procesos para todos los extremos o no se encuentra ninguno de los dispositivos (is_success=false): "No se encontraron procesos relacionados en los extremos proporcionados en CrowdStrike Falcon. La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico: "Error al ejecutar "{action name}". Motivo: {trace back}". |
Ocultar hosts
Usa la acción Ocultar hosts para ocultar uno o más hosts de la consola de CrowdStrike Falcon.
Esta acción se ejecuta en las siguientes entidades de Google SecOps:
- Nombre de host
- Dirección IP
Entradas de acción
La acción Ocultar hosts requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Hostname |
Es opcional. Es una lista separada por comas de los nombres de host que se ocultarán en CrowdStrike Falcon. La acción procesa los valores de entrada proporcionados en este parámetro y
las entidades |
Customer ID |
Es opcional. Es el ID de cliente (CID) único de CrowdStrike que se usa para orientar los anuncios a un usuario específico. Este parámetro es obligatorio en Falcon Flight Control o en entornos de varios usuarios para realizar la acción en un CID secundario específico. |
Resultados de la acción
La acción Ocultar hosts proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento de entidades | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Ocultar hosts proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Hide Host". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Ocultar hosts:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Extremo contenido de Lift
Usa la acción Lift Contained Endpoint para levantar la contención de un extremo en CrowdStrike Falcon.
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
Entradas de acción
La acción Lift Contained Endpoint requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Fail If Timeout |
Optional
Si se selecciona y no se levantó la contención en todos los extremos, la acción falla. Esta opción se selecciona de forma predeterminada. |
Resultados de la acción
La acción Lift Contained Endpoint proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento de entidades | Disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Enriquecimiento de entidades
La acción Lift Contained Endpoint admite el siguiente enriquecimiento de entidades:
| Campo de enriquecimiento | Lógica |
|---|---|
status |
Se devuelve si existe en el resultado JSON |
modified_timestamp |
Se devuelve si existe en el resultado JSON |
major_version |
Se devuelve si existe en el resultado JSON |
config_id_platform |
Se devuelve si existe en el resultado JSON |
system_manufacturer |
Se devuelve si existe en el resultado JSON |
device_policies |
Se devuelve si existe en el resultado JSON |
meta |
Se devuelve si existe en el resultado JSON |
pointer_size |
Se devuelve si existe en el resultado JSON |
last_seen |
Se devuelve si existe en el resultado JSON |
agent_local_time |
Se devuelve si existe en el resultado JSON |
first_seen |
Se devuelve si existe en el resultado JSON |
service_pack_major |
Se devuelve si existe en el resultado JSON |
slow_changing_modified_timestamp |
Se devuelve si existe en el resultado JSON |
service_pack_minor |
Se devuelve si existe en el resultado JSON |
system_product_name |
Se devuelve si existe en el resultado JSON |
product_type_desc |
Se devuelve si existe en el resultado JSON |
build_number |
Se devuelve si existe en el resultado JSON |
cid |
Se devuelve si existe en el resultado JSON |
local_ip |
Se devuelve si existe en el resultado JSON |
external_ip |
Se devuelve si existe en el resultado JSON |
hostname |
Se devuelve si existe en el resultado JSON |
config_id_build |
Se devuelve si existe en el resultado JSON |
minor_version |
Se devuelve si existe en el resultado JSON |
platform_id |
Se devuelve si existe en el resultado JSON |
os_version |
Se devuelve si existe en el resultado JSON |
config_id_base |
Se devuelve si existe en el resultado JSON |
provision_status |
Se devuelve si existe en el resultado JSON |
mac_address |
Se devuelve si existe en el resultado JSON |
bios_version |
Se devuelve si existe en el resultado JSON |
platform_name |
Se devuelve si existe en el resultado JSON |
agent_load_flags |
Se devuelve si existe en el resultado JSON |
device_id |
Se devuelve si existe en el resultado JSON |
product_type |
Se devuelve si existe en el resultado JSON |
agent_version |
Se devuelve si existe en el resultado JSON |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Lift Contained Endpoint:
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6", "policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "example-id",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"Device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"Remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{"version": "12765"},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name":"Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "example-hostname",
"config_id_build": "9106",
"minor_version": "3",
"platform_id": "0",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-id",
"provision_status": "Provisioned",
"mac_address": "01-23-45-ab-cd-ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"agent_load_flags": "1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
Mensajes de salida
La acción Lift Contained Endpoint proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Waiting for containment lift to finish for the following
endpoints: ENTITY_ID |
Mensaje asíncrono. |
Error executing action "Lift
Contained Endpoint". Reason: the following endpoints initiated containment
lift, but were not able to finish it during action execution:
ENTITY_ID |
No se pudo realizar la acción. Verifica el estado del extremo y
el valor del parámetro |
Error executing action "Lift Contained Endpoint". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Lift Contained Endpoint:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Enumera las vulnerabilidades del host
Usa la acción List Host Vulnerabilities para enumerar las vulnerabilidades encontradas en el host en CrowdStrike Falcon.
Esta acción requiere una licencia y permisos de Falcon Spotlight.
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
Entradas de acción
La acción List Host Vulnerabilities requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Severity Filter |
Optional
Especifica una lista separada por comas de los niveles de gravedad de las vulnerabilidades. Si no se proporciona nada, la acción transferirá todas las vulnerabilidades relacionadas. Valores posibles: |
Create Insight |
Optional
Si se selecciona, la acción crea una estadística por entidad que contiene información estadística sobre las vulnerabilidades relacionadas. Esta opción se selecciona de forma predeterminada. |
Max Vulnerabilities To Return |
Optional
Especifica cuántas vulnerabilidades se deben devolver por host. Si no se proporciona nada, la acción procesa todas las vulnerabilidades relacionadas. El valor predeterminado es |
Resultados de la acción
La acción List Host Vulnerabilities proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
En un muro de casos, la acción Enumera las vulnerabilidades del host proporciona la siguiente tabla:
Tipo: Entidad
Columnas:
- Nombre
- Puntuación
- Gravedad
- Estado
- App
- Tiene corrección
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Host Vulnerabilities:
{
"statistics": {
"total": 123,
"severity": {
"critical": 1,
"high": 1,
"medium": 1,
"low": 1,
"unknown": 1
},
"status": {
"open": 1,
"reopened": 1
},
"has_remediation": 1
},
"details": [
{
"id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
"cid": "123456789abcdef123456789abcdef12",
"aid": "74089e36ac3a4271ab14abc076ed18eb",
"created_timestamp": "2021-05-12T22:45:47Z",
"updated_timestamp": "2021-05-12T22:45:47Z",
"status": "open",
"cve": {
"id": "CVE-2021-28476",
"base_score": 9.9,
"severity": "CRITICAL",
"exploit_status": 0
},
"app": {
"product_name_version": "Example 01"
},
"apps": [
{
"product_name_version": "Example 01",
"sub_status": "open",
"remediation": {
"ids": [
"acc34cd461023ff8a966420fa8839365"
]
}
}
],
"host_info": {
"hostname": "example-hostname",
"local_ip": "192.0.2.1",
"machine_domain": "",
"os_version": "Windows 10",
"ou": "",
"site_name": "",
"system_manufacturer": "Example Inc.",
"groups": [],
"tags": [],
"platform": "Windows"
},
"remediation": [
{
"id": "acc34cd461023ff8a966420fa8839365",
"reference": "KB5003169",
"title": "Update Microsoft Windows 10 1909",
"action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
"link": "https://example.com/ABCDEF"
}
]
}
]
}
Mensajes de salida
La acción Enumera las vulnerabilidades del host proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "List Host Vulnerabilities". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "List Host
Vulnerabilities". Reason: Invalid value provided in the Severity Filter
parameter. Possible values: Critical, High, Medium, Low, Unknown.
|
No se pudo realizar la acción. Verifica el valor del parámetro |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Host Vulnerabilities:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Enumera hosts
Usa la acción List Hosts para enumerar los hosts disponibles en CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
La acción List Hosts requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Filter Logic |
Optional
Es la lógica que se usará cuando se busquen hosts. El valor predeterminado es
|
Filter Value |
Optional
Es un valor que se usará para el filtrado de hosts. |
Max Hosts To Return |
Optional
Es la cantidad de hosts que se devolverán. El valor predeterminado es El valor máximo es |
Resultados de la acción
La acción List Hosts proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Hosts:
[{
"modified_timestamp": "2019-05-15T15:03:12Z",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "Example Corporation",
"meta": {"version": "4067"},
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_minor": "0",
"product_type_desc": "Server",
"build_number": "9600",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "3",
"os_version": "Windows Server 2012 R2",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"device_policies":
{
"Sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:05:09.577000651Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:03:36.804382667Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.896362608Z",
"assigned_date": "2019-04-29T07:39:55.218637999Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-04-29T07:45:18.94807838Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-04-29T07:45:08.165941325Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-02T22:05:00.015Z",
"slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
"service_pack_major": "0",
"device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
"system_product_name": "Virtual Machine",
"product_type": "3",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "6",
"platform_name": "Windows",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-15T15:01:23Z"
},
{
"modified_timestamp": "2019-05-13T07:24:36Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Example Inc.",
"meta": {"version": "14706"},
"first_seen": "2018-04-17T11:02:20Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.6.5",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-05T12:52:23.121596885Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-05T12:51:37.544605747Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Remote_response":
{
"applied": true,
"applied_date": "2019-02-10T07:57:59.064362539Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-10T07:57:50.610924385Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-25T15:01:28.51681072Z",
"assigned_date": "2019-03-25T15:00:22.442519168Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"Prevention":
{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-10T07:57:53.70275875Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-10T07:57:50.610917888Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-05T15:52:08.172Z",
"slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
"service_pack_major": "0",
"device_id": "cb4493e4af2742b068efd16cb48b7260",
"system_product_name": "example-name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-13T07:21:30Z"
},
{
"modified_timestamp": "2019-05-09T14:22:50Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Dell Inc.",
"meta": {"version": "77747"},
"first_seen": "2018-07-01T12:19:23Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname":"example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:10:50.336101107Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:10:50.336100731Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-02-08T02:46:31.919442939Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-08T02:46:22.219718098Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-24T16:43:31.777981725Z",
"assigned_date": "2019-03-24T16:42:21.395540493Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-08T01:14:14.810607774Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-08T01:14:05.585922067Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-03T01:10:29.340Z",
"slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
"service_pack_major": "0",
"device_id": "1c2f1a7f88f8457f532f1c615f07617b",
"system_product_name": "Example Name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-09T14:20:53Z"
}]
Mensajes de salida
La acción List Hosts proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "List Hosts".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Hosts:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Enumera los IOC subidos
Usa la acción List Uploaded IOCs para enumerar los IOC personalizados disponibles en CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
La acción List Uploaded IOCs requiere los siguientes parámetros:
| Parámetros | |
|---|---|
IOC Type Filter |
Optional
Es una lista separada por comas de los tipos de IOC que se devolverán. El valor predeterminado es
|
Value Filter Logic |
Optional
Es un valor de la lógica del filtro. El valor predeterminado es
Si se establece |
Value Filter String |
Optional
Es una cadena para buscar entre los IOC. |
Max IOCs To Return |
Optional
Es la cantidad de IOC que se devolverán. El valor predeterminado es El valor máximo es 500. |
Resultados de la acción
La acción List Uploaded IOCs proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
En un muro de casos, la acción List Uploaded IOCs proporciona la siguiente tabla:
Columnas:
- Acción
- Gravedad
- Firmado
- Hits de AV
- Plataformas
- Etiquetas
- Fecha de creación
- Creado por
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Uploaded IOCs:
{
"id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
"type": "sha256",
"value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
"action": "no_action",
"severity": "",
"metadata": {
"signed": false,
"av_hits": -1
},
"platforms": [
"windows"
],
"tags": [
"Hashes 22.Nov.20 15:29 (Windows)"
],
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-04-22T03:54:09.235120463Z",
"modified_by": "internal@example.com"
}
Mensajes de salida
La acción List Uploaded IOCs proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully found custom IOCs for the provided criteria in
CrowdStrike Falcon. |
La acción se realizó correctamente. |
Error executing action "List Uploaded IOCs". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "List Uploaded IOCs". Reason: "IOC Type
Filter" contains an invalid value. Please check the spelling. Possible
values: ipv4, ipv6, md5, sha1, sha256, domain. |
No se pudo realizar la acción. Verifica la ortografía y el valor del parámetro |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Uploaded IOCs:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Análisis on demand
Usa la acción Análisis on demand para analizar el extremo on demand en CrowdStrike.
Esta acción solo se ejecuta en hosts de Windows y en las siguientes entidades:
- Dirección IP
- Nombre de host
La acción Análisis on demand se ejecuta de forma asíncrona. Si es necesario, ajusta el valor del tiempo de espera de la secuencia de comandos en el IDE de Google SecOps.
Entradas de acción
La acción Análisis on demand requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
File Paths To Scan |
Obligatorio
Es una lista separada por comas de rutas de acceso que se deben analizar. El valor predeterminado es |
File Paths To Exclude From Scan |
Optional
Es una lista separada por comas de rutas de acceso que se deben excluir del análisis. |
Host Group Name |
Optional
Es una lista separada por comas de los nombres de los grupos de hosts para los que se iniciará el análisis. Nota: Se crea un proceso de análisis independiente para cada grupo de hosts. |
Scan Description |
Optional
Es la descripción del análisis. Si no se proporciona ningún valor, la acción establece la descripción en |
CPU Priority |
Optional
La cantidad de CPU que se usará para el host subyacente durante el análisis. Valores posibles: El valor predeterminado es |
Sensor Anti-malware Detection Level |
Optional
Especifica el nivel de detección de software malicioso del sensor. Nota: El nivel de detección debe ser igual o superior al nivel de prevención. Valores posibles: El valor predeterminado es |
Sensor Anti-malware Prevention Level |
Optional
Especifica el nivel de prevención de software malicioso del sensor. Nota: El nivel de detección debe ser igual o superior al nivel de prevención. Valores posibles: El valor predeterminado es |
Cloud Anti-malware Detection Level |
Optional
Especifica el nivel de detección de software malicioso en la nube. Nota: El nivel de detección debe ser igual o superior al nivel de prevención. Valores posibles: El valor predeterminado es |
Cloud Anti-malware Prevention Level |
Optional
Especifica el nivel de prevención de antimalware en la nube. Nota: El nivel de detección debe ser igual o superior al nivel de prevención. Valores posibles: El valor predeterminado es |
Quarantine Hosts |
Optional
Si se selecciona, los hosts subyacentes se ponen en cuarentena como parte del análisis. No se selecciona de forma predeterminada. |
Create Endpoint Notification |
Optional
Si se selecciona, el proceso de análisis crea una notificación de extremo. Esta opción se selecciona de forma predeterminada. |
Max Scan Duration |
Optional
Es la cantidad de horas que se ejecutará un análisis. Si no se proporciona ningún valor, el análisis se ejecuta de forma continua. El valor predeterminado es |
Hostname |
Optional
Es una lista separada por comas de los nombres de host en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Resultados de la acción
La acción Análisis on demand proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Análisis on demand:
{
"id": "ID",
"cid": "123456789abcdef123456789abcdef12",
"profile_id": "c94149b9a52d4c76b027e63a88dcc710",
"description": "test APIS ",
"file_paths": [
"C:\\Windows"
],
"initiated_from": "falcon_adhoc",
"quarantine": true,
"cpu_priority": 1,
"preemption_priority": 1,
"metadata": [
{
"host_id": "HOST_ID",
"host_scan_id": "909262bd2fff664282a46464d8625a62",
"scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"status": "completed",
"started_on": "2024-02-05T13:55:45.25066635Z",
"completed_on": "2024-02-05T14:11:18.092427363Z",
"last_updated": "2024-02-05T14:11:18.092431457Z"
}
],
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"targeted_host_count": 1,
"completed_host_count": 1,
"status": "completed",
"hosts": [
"86db81f390394cb080417a1ffb7d46fd"
],
"endpoint_notification": true,
"pause_duration": 2,
"max_duration": 1,
"max_file_size": 60,
"sensor_ml_level_detection": 2,
"sensor_ml_level_prevention": 2,
"cloud_ml_level_detection": 2,
"cloud_ml_level_prevention": 2,
"policy_setting": [
26439818674573,
],
"scan_started_on": "2024-02-05T13:55:45.25Z",
"scan_completed_on": "2024-02-05T14:11:18.092Z",
"created_on": "2024-02-05T13:55:43.436807525Z",
"created_by": "88f5d9e8284f4b85b92dab2389cb349d",
"last_updated": "2024-02-05T14:14:18.776620391Z"
}
Mensajes de salida
La acción Análisis on demand proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Análisis on demand:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Ping
Usa la acción Ping para probar la conectividad con CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
Ninguno
Resultados de la acción
La acción Ping proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Ejecutar secuencia de comandos
Usa la acción Ejecutar secuencia de comandos para ejecutar una secuencia de comandos de PowerShell en los extremos de CrowdStrike.
Esta acción es asíncrona. Si es necesario, ajusta el valor de tiempo de espera de la secuencia de comandos en el IDE de Google SecOps.
Esta acción se ejecuta en las entidades de dirección IP y nombre de host.
Entradas de acción
La acción Ejecutar secuencia de comandos requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Customer ID |
Optional
Especifica el ID del cliente para el que deseas ejecutar la acción. |
Script Name |
Optional
Es el nombre del archivo de secuencia de comandos que se debe ejecutar. Nota: Se debe proporcionar |
Raw Script |
Optional
Es la carga útil de la secuencia de comandos de PowerShell sin procesar que se debe ejecutar en los extremos. Nota: Se debe proporcionar |
Hostname |
Optional
Es una lista separada por comas de los nombres de host en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Device ID |
Optional
Es una lista separada por comas de los IDs de dispositivo en los que deseas ejecutar la acción. Nota: La acción se ejecuta tanto en las entidades adjuntas al caso como en estos valores de parámetros. |
Queue Offline |
Optional
Si se selecciona, los comandos orientados a hosts sin conexión se ponen en cola y se ejecutan una vez que el host se vuelve a conectar a la red. No se selecciona de forma predeterminada. |
Resultados de la acción
La acción Ejecutar secuencia de comandos proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
En un muro de casos, la acción Ejecutar secuencia de comandos proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Ejecutar secuencia de comandos:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Eventos de búsqueda
Usa la acción Buscar eventos para ejecutar consultas de búsqueda de eventos asíncronas en los repositorios de SIEM de nueva generación de CrowdStrike Falcon (LogScale).
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Buscar eventos requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Repository |
Obligatorio
Es un repositorio para buscar. Los valores posibles son los siguientes:
El valor predeterminado es |
Query |
Obligatorio
Es una consulta para ejecutar en CrowdStrike. |
Time Frame |
Optional
Es el período de los resultados. Si se selecciona Los valores posibles son los siguientes:
El valor predeterminado es |
Start Time |
Optional
Es la hora de inicio de los resultados en formato ISO 8601. Si |
End Time |
Optional
Es la hora de finalización de los resultados en formato ISO 8601. Si no se proporciona ningún valor y se establece |
Max Results To Return |
Optional
Es la cantidad máxima de resultados que se devolverán para la consulta. El valor máximo es El valor predeterminado es |
Resultados de la acción
La acción Buscar eventos proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
En un muro de casos, la acción Buscar eventos proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
|
La acción no debería fallar ni detener la ejecución de una guía. |
|
|
No se pudo realizar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Buscar eventos:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Enviar archivo
Usa la acción Enviar archivo para enviar archivos a una zona de pruebas en CrowdStrike.
Para realizar esta acción, se requiere una licencia de Falcon Sandbox.
Esta acción no se ejecuta en las entidades de Google SecOps.
Formatos de archivo y de archivo comprimido compatibles
Según el portal de CrowdStrike, la zona de pruebas admite los siguientes formatos de archivo:
| Formatos de archivo compatibles | |
|---|---|
.exe, .scr, .pif,
.dll, .com, .cpl |
Ejecutables portátiles |
.doc, .docx, .ppt,
.pps, .pptx, .ppsx,
.xls, .xlsx, .rtf,
.pub |
Documentos de Office |
.pdf |
|
.apk |
APK |
.jar |
JAR ejecutable |
.sct |
Componente de secuencia de comandos de Windows |
.lnk |
Acceso directo de Windows |
.chm |
Ayuda de Windows |
.hta |
Aplicación HTML |
.wsf |
Archivo de secuencia de comandos de Windows |
.js |
JavaScript |
.vbs, .vbe |
Visual Basic |
.swf |
Shockwave Flash |
.pl |
Perl |
.ps1, .psd1, .psm1 |
PowerShell |
.svg |
Gráficos vectoriales escalables |
.py |
Python |
.elf |
Ejecutables ELF de Linux |
.eml |
Archivos de correo electrónico: MIME RFC 822 |
.msg |
Archivos de correo electrónico: Outlook |
Según el portal de CrowdStrike, la zona de pruebas admite los siguientes formatos de archivo:
.zip.7z
Entradas de acción
La acción Enviar archivo requiere los siguientes parámetros:
| Parámetros | |
|---|---|
File Paths |
Obligatorio
Es una lista de rutas de acceso absolutas a los archivos enviados. El formato depende de tu implementación:
Para obtener una lista de los formatos de archivo compatibles, consulta Formatos de archivo compatibles. |
Sandbox Environment |
Optional
Un entorno de zona de pruebas para analizar. El valor predeterminado es
|
Network Environment |
Optional
Un entorno de red para analizar. El valor predeterminado es
|
Archive Password |
Optional
Es una contraseña que se usa cuando se trabaja con archivos de almacenamiento. |
Document Password |
Optional
Es una contraseña que se usa cuando se trabaja con archivos de Adobe o de Office. La longitud máxima de la contraseña es de 32 caracteres. |
Check Duplicate |
Optional
Si se selecciona, la acción verifica si el archivo ya se envió anteriormente y devuelve el informe disponible. Durante
la validación, la acción no tiene en cuenta los parámetros Esta opción se selecciona de forma predeterminada. |
Comment |
Optional
Es un comentario que se enviará. |
Confidential Submission |
Optional
Si se selecciona, el archivo solo se mostrará a los usuarios de tu cuenta de cliente. No se selecciona de forma predeterminada. |
Resultados de la acción
La acción Enviar archivo proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
En el muro de un caso, la acción Enviar archivo proporciona la siguiente tabla:
Columnas:
- Resultados
- Nombre
- Puntuación de amenaza
- Veredicto
- Etiquetas
Mensajes de salida
La acción Enviar archivo proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
|
La acción devolvió un error. Consulta los formatos de archivo compatibles para esta acción. |
Waiting for results for the following
files: PATHS |
Mensaje asíncrono. |
Error executing action "Submit File".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Submit File".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE.
|
No se pudo realizar la acción. Aumenta el tiempo de espera en el IDE. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Enviar archivo:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Enviar URL
Usa la acción Enviar URL para enviar URLs a una zona de pruebas en CrowdStrike.
Para realizar esta acción, se requiere una licencia de Falcon Sandbox. Para verificar qué formatos de archivo admite la zona de pruebas, consulta la sección Formatos de archivo y de archivo comprimido admitidos de este documento.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Enviar URL requiere los siguientes parámetros:
| Parámetros | |
|---|---|
URLs |
Obligatorio
URLs para enviar. |
Sandbox Environment |
Optional
Un entorno de zona de pruebas para analizar. El valor predeterminado es
|
Network Environment |
Optional
Un entorno de red para analizar. El valor predeterminado es
|
Check Duplicate |
Optional
Si se selecciona, la acción verifica si la URL ya se envió anteriormente y devuelve el informe disponible. Durante
la validación, la acción no tiene en cuenta los parámetros Esta opción se selecciona de forma predeterminada. |
Resultados de la acción
La acción Enviar URL proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Enviar URL proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Waiting for results for the following
URLs: PATHS |
Mensaje asíncrono. |
Error executing action "Submit URL".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Submit URL".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE. |
No se pudo realizar la acción. Aumenta el tiempo de espera en el IDE. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Enviar URL:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Actualizar alerta
Usa la acción Actualizar alerta para actualizar las alertas en CrowdStrike Falcon.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Actualizar alerta requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Alert ID |
Obligatorio Es el ID de la alerta que se actualizará. |
Status |
Optional Es el estado de la alerta. Los valores posibles se detallan a continuación:
|
Verdict |
Optional Es el veredicto de la alerta. Los valores posibles se detallan a continuación:
|
Assign To |
Optional Es el nombre del analista al que se le asignará la alerta. Si proporcionas La API acepta cualquier valor, incluso si el usuario proporcionado no existe en el sistema. |
Resultados de la acción
La acción Actualizar alerta proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Actualizar alerta:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Mensajes de salida
La acción Actualizar alerta proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully updated alert with ID
ALERT_ID in CrowdStrike |
La acción se realizó correctamente. |
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Actualizar alerta:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Detección de actualizaciones (obsoleta)
Usa la acción Actualizar detección para actualizar las detecciones en CrowdStrike Falcon.
Esta acción se ejecuta en todas las entidades.
Entradas de acción
La acción Update Detection requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Detection ID |
Obligatorio. Es el ID de la detección que se actualizará. |
Status |
Obligatorio. Es un estado de detección. El valor predeterminado es
|
Assign Detection to |
Es opcional. Es la dirección de correo electrónico del usuario de CrowdStrike Falcon que es el destinatario de la detección. |
Resultados de la acción
La acción Actualizar detección proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Update Detection proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. |
La acción se realizó correctamente. |
Error executing action "Update Detection". Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Update Detection". Reason: Either
"Status" or "Assign Detection To" should have a proper value. |
No se pudo realizar la acción. Verifica los valores de los parámetros |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Update Detection:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Actualizar la detección de la protección de identidad
Usa Actualizar la detección de protección de identidad para actualizar una detección de protección de identidad en CrowdStrike.
Esta acción requiere una licencia de Identity Protection.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Actualizar la detección de protección de identidad requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Detection ID |
Obligatorio
Es el ID de la detección que se actualizará. |
Status |
Optional
Es el estado de la detección. El valor predeterminado es Los valores posibles son los siguientes:
|
Assign to |
Optional
Es el nombre del analista asignado. Si se proporciona Si se proporciona un valor no válido, la acción no cambia el destinatario actual. |
Resultados de la acción
La acción Actualizar la detección de Identity Protection proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Actualizar la detección de Identity Protection:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://example.com/",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Mensajes de salida
En un muro de casos, la acción Actualizar la detección de Identity Protection proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully updated identity protection detection with ID
DETECTION_ID in CrowdStrike.
|
La acción se realizó correctamente. |
Error executing action "Update Identity Protection Detection".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Update Identity Protection Detection".
Reason: identity protection detection with ID
DETECTION_ID wasn't found in
CrowdStrike. Please check the spelling. |
No se pudo realizar la acción. Verifica si están bien escritas. |
Error executing action "Update
Identity Protection Detection". Reason: at least one of the "Status" or
"Assign To" parameters should have a value. |
No se pudo realizar la acción. Verifica los valores de los parámetros |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Actualizar la detección de Identity Protection:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Actualizar incidente (obsoleto)
Usa la acción Actualizar incidente para actualizar incidentes en CrowdStrike.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Actualizar incidente requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Incident ID |
Obligatorio. Es el ID del incidente que se actualizará. |
Status |
Es opcional. Es el estado del incidente.Los valores posibles son los siguientes:
|
Assign to |
Es opcional. Es el nombre o la dirección de correo electrónico del analista asignado. Si se proporciona Para especificar un nombre, proporciona el nombre y
el apellido del analista en el siguiente formato:
|
Resultados de la acción
La acción Actualizar incidente proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Actualizar incidente:
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"host_ids": [
"fee8a6ef0cb3412e9a781dcae0287c85"
],
"hosts": [
{
"device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
"hostname": "DESKTOP-EXAMPLE",
"external_ip": "198.51.100.1",
"os_version": "Windows 10",
"status": "contained"
}
],
"created": "2023-01-09T12:12:51Z",
"state": "closed",
"status": 20,
"tactics": [
"Defense Evasion",
"Privilege Escalation",
"Credential Access"
],
"fine_score": 21
}
Mensajes de salida
La acción Actualizar incidente proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully updated incident with ID
INCIDENT_ID in CrowdStrike |
La acción se realizó correctamente. |
Error executing action "Update Incident". Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión, los parámetros de entrada o las credenciales. |
Error executing action "Update Incident". Reason: incident with
ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
No se pudo realizar la acción. Verifica si están bien escritas. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Actualizar incidente:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Actualiza la información de IOC
Usa la acción Actualizar información de IOC para actualizar la información sobre los IOC personalizados en CrowdStrike Falcon.
Esta acción trata las entidades de nombre de host como IOC de dominio y extrae la parte del dominio de las URLs. Esta acción solo admite los hashes MD5 y SHA-256.
La acción Actualizar información de IOC se ejecuta en las siguientes entidades:
- Nombre de host
- URL
- Dirección IP
- Hash
Entradas de acción
La acción Actualizar información de IOC requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Description |
Optional
Una descripción nueva para los IOC personalizados. |
Source |
Optional
Una fuente de IOC personalizados. |
Expiration days |
Optional
La cantidad de días restantes hasta el vencimiento. Este parámetro solo afecta a las entidades de URL, dirección IP y nombre de host. |
Detect policy |
Optional
Si se selecciona, la acción envía una notificación para los IOC identificados. Si no se selecciona, la acción no envía ninguna notificación. Esta opción se selecciona de forma predeterminada. |
Resultados de la acción
La acción Actualizar información de IOC proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Actualizar información de IOC:
{
"id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
"type": "md5",
"value": "7e4b0f81078f27fde4aeb87b78b6214c",
"source": "testSource",
"action": "detect",
"severity": "high",
"description": "test description update",
"platforms": [
"example"
],
"tags": [
"Hashes 17.Apr.18 12:20 (Example)"
],
"expiration": "2022-05-01T12:00:00Z",
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-09-16T10:09:07.755804336Z",
"modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
Mensajes de salida
En un muro de casos, la acción Actualizar información de IOC proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Update IOC
Information". Reason: ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Actualizar información de IOC:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Sube IOCs
Usa la acción Upload IOCs para agregar IOC personalizados en CrowdStrike Falcon.
Esta acción trata las entidades de nombre de host como IOC de dominio y extrae la parte del dominio de las URLs. Esta acción solo admite los hashes MD5 y SHA-256.
La acción Subir IOC se ejecuta en las siguientes entidades:
- Dirección IP
- Nombre de host
- URL
- Hash
Entradas de acción
La acción Subir IOC requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Platform |
Obligatorio
Es una lista separada por comas de las plataformas relacionadas con el IOC. El valor predeterminado es
|
Severity |
Obligatorio
Es la gravedad del IOC. El valor predeterminado es
|
Comment |
Optional
Un comentario que contiene más contexto relacionado con el IOC. |
Host Group Name |
Obligatorio
Es el nombre del grupo de hosts. |
Action |
Optional
Es una acción para los IOC subidos. El valor predeterminado es Los valores posibles son los siguientes:
El valor |
Days To Expire |
Optional
Es la cantidad de días antes de que venza el IOC. |
Resultados de la acción
La acción Subir IOC proporciona los siguientes resultados:
| Tipo de resultado de la acción | |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Subir IOC proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Upload IOCs".
Reason: ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Upload IOCs". Reason: Host group
"HOST_GROUP_NAME" was not found.
Please check the spelling. |
No se pudo realizar la acción. Verifica el valor del parámetro |
Error executing action "Upload IOCs".
Invalid value provided for the parameter "Platform". Possible values:
Windows, Linux, Mac. |
No se pudo realizar la acción. Verifica el valor del parámetro |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Subir IOC:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
True o False |
Conectores
Asegúrate de haber configurado los permisos mínimos para cada conector de CrowdStrike. Para obtener más detalles, consulta la sección Permisos del conector de este documento.
Para obtener instrucciones sobre cómo configurar un conector en Google SecOps, consulta Transferir tus datos (conectores).
Eventos de CrowdStrike
Los eventos son fragmentos de información que recopilan los sensores de Falcon en tus hosts. Hay cuatro tipos de eventos en CrowdStrike:
| Tipos de eventos de CrowdStrike | |
|---|---|
| Eventos de auditoría de actividad de Auth | Son eventos que se generan cada vez que se solicita, se permite o se completa la autorización en los extremos. |
| Eventos de resumen de detección | Son eventos que se generan cuando se detectan amenazas en los extremos. |
| Eventos de finalización de sesión de respuesta remota | Eventos generados a partir de sesiones remotas en extremos. |
| Eventos de auditoría de la actividad del usuario | Son eventos que se generan para supervisar las actividades que realizan los usuarios activos en los extremos. |
Los conectores transfieren eventos a Google SecOps para crear alertas y enriquecer los casos con datos de eventos. Puedes seleccionar qué eventos transferir a Google SecOps: todos los tipos de eventos o los seleccionados.
Obsoleto: Conector de detecciones de CrowdStrike
Usa el conector de detecciones de CrowdStrike para extraer detecciones de CrowdStrike.
La lista dinámica funciona con filtros compatibles con la API de CrowdStrike.
Cómo trabajar con la lista dinámica
Cuando trabajes con la lista dinámica, sigue estas recomendaciones:
- Usa el lenguaje FQL de CrowdStrike para modificar el filtro que envía el conector.
- Proporciona una entrada independiente en la lista dinámica para cada filtro.
- Para transferir todas las detecciones asignadas a un analista específico, asegúrate de que
el analista proporcione la siguiente entrada de lista dinámica:
assigned_to_name:'ANALYST_USER_NAME'
La lista dinámica admite los siguientes parámetros:
| Parámetros admitidos | Descripción |
|---|---|
q |
Es una búsqueda en el texto completo en todos los campos de metadatos. |
date_updated |
Es la fecha de la actualización de detección más reciente. |
assigned_to_name |
Es el nombre de usuario legible por humanos del destinatario de la detección. |
max_confidence |
Cuando una detección tiene más de un comportamiento asociado con diferentes niveles de confianza, este campo captura el valor de confianza más alto de todos los comportamientos. El valor del parámetro puede ser cualquier número entero del 1 al 100. |
detection_id |
Es el ID de detección que se puede usar junto con otras APIs, como la API de Detection Details o la API de Resolve Detection. |
max_severity |
Cuando una detección tiene más de un comportamiento asociado con diferentes niveles de gravedad, este campo captura el valor de gravedad más alto de todos los comportamientos. El valor del parámetro puede ser cualquier número entero del 1 al 100. |
max_severity_displayname |
Es el nombre que se usa en la IU para determinar la gravedad de la detección. Los valores posibles son los siguientes:
|
seconds_to_triaged |
Es el tiempo necesario para que una detección cambie su estado de
new a in_progress. |
seconds_to_resolved |
Es el tiempo necesario para que una detección cambie su estado de
new a cualquiera de los estados resueltos
(true_positive, false_positive,
ignored y closed). |
status |
Es el estado actual de la detección. Los valores posibles son los siguientes:
|
adversary_ids |
El adversario al que hace un seguimiento CrowdStrike Falcon Intelligence posee un ID asociado con los comportamientos o indicadores atribuidos en una detección. Estos IDs se encuentran en los metadatos de detección a los que se puede acceder a través de la API de Detection Details. |
cid |
Es el ID de cliente (CID) de tu organización. |
Entradas del conector
El conector de detecciones de CrowdStrike requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Product Field Name |
Obligatorio. Es el nombre del campo de origen que contiene el nombre de El valor predeterminado es |
Event Field Name |
Obligatorio. Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Environment Field Name |
Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se usa el entorno predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo
Usa el valor predeterminado |
Script Timeout (Seconds) |
Obligatorio. Es el límite de tiempo de espera en segundos para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
API Root |
Obligatorio. La raíz de la API de la instancia de CrowdStrike. El valor predeterminado es |
Client ID |
Obligatorio. Es el ID de cliente de la cuenta de CrowdStrike. |
Client Secret |
Obligatorio. Es el secreto del cliente de la cuenta de CrowdStrike. |
Lowest Severity Score To Fetch |
Es opcional. La puntuación de gravedad más baja de las detecciones que se recuperarán (máx. 100). El valor predeterminado es |
Lowest Confidence Score To Fetch |
Es opcional. Es la puntuación de confianza más baja de las detecciones que se recuperarán (máx. 100). El valor predeterminado es |
Max Hours Backwards |
Es opcional. Es la cantidad de horas de las que se recuperarán las detecciones. El valor predeterminado es |
Max Detections To Fetch |
Es opcional. Es la cantidad de detecciones que se procesarán en una sola iteración del conector. El valor predeterminado es |
Disable Overflow |
Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento. |
Verify SSL |
Obligatorio. Si se selecciona, la integración verifica el certificado SSL. |
Proxy Server Address |
Es opcional. Es una dirección del servidor proxy que se usará. |
Proxy Username |
Es opcional. Es un nombre de usuario de proxy para autenticarse. |
Proxy Password |
Es opcional. Es una contraseña de proxy para autenticarse. |
Case Name Template |
Es opcional. Formato del marcador de posición: [FIELD_NAME
]. |
Alert Name Template |
Es opcional. Formato del marcador de posición: [FIELD_NAME
]. |
Padding Period |
Es opcional. Es la cantidad de horas que se usan para el relleno (máximo 6). |
Include Hidden Alerts |
Es opcional. Si se habilita, recupera las alertas etiquetadas como "ocultas". |
Fallback Severity |
Es opcional. Se aplica si falta la gravedad. Valor predeterminado: Informativo. |
Customer ID |
Es opcional. Es el ID de cliente para entornos de múltiples usuarios (MSSP). |
Reglas del conector
El conector admite proxies.
Eventos de conectores
A continuación, se muestra un ejemplo del evento del conector:
{
"cid": "123456789abcdef123456789abcdef12",
"created_timestamp": "2021-01-12T16:19:08.651448357Z",
"detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"device": {
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"cid": "123456789abcdef123456789abcdef12",
"agent_load_flags": "0",
"agent_local_time": "2021-01-12T16:07:16.205Z",
"agent_version": "6.13.12708.0",
"bios_manufacturer": "Example LTD",
"bios_version": "6.00",
"config_id_base": "65994753",
"config_id_build": "12708",
"config_id_platform": "3",
"external_ip": "203.0.113.1",
"hostname": "EXAMPLE-01",
"first_seen": "2021-01-12T16:01:43Z",
"last_seen": "2021-01-12T16:17:21Z",
"local_ip": "192.0.2.1",
"mac_address": "00-50-56-a2-5d-a3",
"major_version": "10",
"minor_version": "0",
"os_version": "Windows 10",
"platform_id": "0",
"platform_name": "Windows",
"product_type": "1",
"product_type_desc": "Workstation",
"status": "normal",
"system_manufacturer": "Example, Inc.",
"system_product_name": "Example ",
"modified_timestamp": "2021-01-12T16:17:29Z",
"behaviors":
{
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"timestamp": "2021-01-12T16:17:19Z",
"template_instance_id": "10",
"behavior_id": "10146",
"filename": "reg.exe",
"filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"alleged_filetype": "exe",
"cmdline": "REG ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
"scenario": "credential_theft",
"objective": "Gain Access",
"tactic": "Credential Access",
"tactic_id": "TA0006",
"technique": "Credential Dumping",
"technique_id": "T1003",
"display_name": "Example-Name",
"severity": 70,
"confidence": 80,
"ioc_type": "hash_sha256",
"ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"ioc_source": "library_load",
"ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"user_name": "Admin",
"user_id": "example-id",
"control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
"sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"md5": "05cf3ce225b05b669e3118092f4c8eab",
"parent_details": {
"parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
"parent_md5": "9d59442313565c2e0860b88bf32b2277",
"parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
"parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
},
"pattern_disposition": 2048,
"pattern_disposition_details": {
"indicator": false,
"detect": false,
"inddet_mask": false,
"sensor_only": false,
"rooting": false,
"kill_process": false,
"kill_subprocess": false,
"quarantine_machine": false,
"quarantine_file": false,
"policy_disabled": false,
"kill_parent": false,
"operation_blocked": false,
"process_blocked": true,
"registry_operation_blocked": false,
"critical_process_disabled": false,
"bootup_safeguard_enabled": false,
"fs_operation_blocked": false,
"handle_operation_downgraded": false
}
}
},
"email_sent": false,
"first_behavior": "2021-01-12T16:17:19Z",
"last_behavior": "2021-01-12T16:17:19Z",
"max_confidence": 80,
"max_severity": 70,
"max_severity_displayname": "High",
"show_in_ui": true,
"status": "new",
"hostinfo": {
"domain": ""
},
"seconds_to_triaged": 0,
"seconds_to_resolved": 0,
}
Conector de eventos de transmisión de CrowdStrike Falcon
El conector de eventos de transmisión de CrowdStrike Falcon aborda los siguientes casos de uso:
Ingesta de datos de eventos de detección.
CrowdStrike Falcon detecta un intento de ejecutar el archivo malicioso
SophosCleanM.exeen un extremo. CrowdStrike detiene la operación y crea una alerta que contiene hashes de archivos en los datos de eventos.Un analista interesado en la reputación de los archivos ejecuta los hashes descubiertos en VirusTotal y descubre que un hash es malicioso. Como paso siguiente, la acción de McAfee EDR pone en cuarentena el archivo malicioso.
Ingesta de datos de eventos de auditoría de la actividad del usuario.
Dani, un usuario de CrowdStrike, actualiza el estado de detección de
newafalse-positive. Esta acción del usuario crea un evento llamado detection_update.El analista realiza un seguimiento para comprender por qué Dani marcó la acción como falso positivo y verifica el evento transferido que contiene la información sobre la identidad de Dani.
Como siguiente paso, el analista ejecuta la acción Enrich Entities de Active Directory para obtener más detalles sobre el incidente y simplificar el seguimiento de Dani.
Transferencia de datos de eventos de auditoría de actividad de Auth.
Un evento indica que Dani creó una cuenta de usuario nueva y le asignó roles de usuario.
Para investigar el evento y comprender por qué se creó el usuario, el analista usa el ID de usuario de Dani para ejecutar la acción Enrich Entities de Active Directory y averiguar el rol de usuario de Dani para confirmar si tiene autorización para agregar usuarios nuevos.
Ingesta de datos de eventos de finalización de respuesta remota.
Un evento remoto indica que Dani tuvo una conexión remota a un host específico y ejecutó comandos como usuario raíz para acceder a un directorio del servidor web.
Para obtener más información sobre Dani y el host involucrado, el analista ejecuta la acción de Active Directory para enriquecer tanto al usuario como al host. Según la información que se muestra, el analista podría decidir suspender a Dani hasta que se aclare el propósito de la conexión remota.
Entradas del conector
El conector de eventos de transmisión de CrowdStrike Falcon requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Product Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Event Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Environment Field Name |
Optional
Es el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se usa el entorno predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Optional
Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo
Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Alert Name Template |
Optional
Si se proporciona, el conector usa este valor para el nombre de la alerta de Google SecOps. Puedes proporcionar marcadores de posición
en el siguiente formato: [ Nota: Si no proporcionas ningún valor o una plantilla no válida, el conector usará el nombre de alerta predeterminado. El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
API Root |
Obligatorio
La raíz de la API de la instancia de CrowdStrike. El valor predeterminado es |
Client ID |
Obligatorio
Es el ID de cliente de la cuenta de CrowdStrike. |
Client Secret |
Obligatorio
Es el secreto del cliente de la cuenta de CrowdStrike. |
Event types |
Optional
Es una lista de tipos de eventos separados por comas. Estos son algunos ejemplos de los tipos de eventos:
|
Max Days Backwards |
Optional
Es la cantidad de días anteriores a hoy de los que se recuperarán las detecciones. El valor predeterminado es |
Max Events Per Cycle |
Optional
Es la cantidad de eventos que se procesarán en una sola iteración del conector. El valor predeterminado es |
Min Severity |
Optional Eventos que se transferirán según la gravedad del evento (eventos de detección). El valor varía de 0 a 5. Si se transfieren otros tipos de eventos además de las detecciones, su gravedad se
establece en |
Disable Overflow |
Optional Si se selecciona, el conector ignora el mecanismo de desbordamiento. No se selecciona de forma predeterminada. |
Verify SSL |
Obligatorio
Si se selecciona, la integración verifica que el certificado SSL para la conexión con el servidor de CrowdStrike sea válido. No se selecciona de forma predeterminada. |
Script Timeout (Seconds) |
Obligatorio Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es 60 segundos. |
Proxy Server Address |
Optional
Es una dirección del servidor proxy que se usará. |
Proxy Username |
Optional
Es un nombre de usuario de proxy para autenticarse. |
Proxy Password |
Optional
Es una contraseña de proxy para autenticarse. |
Rule Generator Template |
Optional
Si se proporciona, el conector usa este valor para el generador de reglas de Google SecOps. Puedes proporcionar
marcadores de posición
en el siguiente formato: [ Si no proporcionas ningún valor o una plantilla no válida, el conector usará el generador de reglas predeterminado. El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
Customer ID |
Optional Es el ID de cliente del usuario en el que se ejecutará el conector. Para usar en entornos multiusuario (MSSP). |
Reglas del conector
Este conector admite proxies.
Este conector no admite la lista dinámica.
Conector de detecciones de CrowdStrike Identity Protection
Usa el conector de detecciones de CrowdStrike Identity Protection para extraer las
detecciones de protección de identidad de CrowdStrike. La lista dinámica funciona con
el parámetro display_name.
Este conector requiere una licencia de Identity Protection.
Entradas del conector
El conector de detecciones de CrowdStrike Identity Protection requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Product Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Event Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Environment Field Name |
Optional
Es el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se usa el entorno predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Optional
Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo
Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Script Timeout (Seconds) |
Obligatorio Es el límite de tiempo de espera en segundos para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
API Root |
Obligatorio
La raíz de la API de la instancia de CrowdStrike. El valor predeterminado es |
Client ID |
Obligatorio
Es el ID de cliente de la cuenta de CrowdStrike. |
Client Secret |
Obligatorio
Es el secreto del cliente de la cuenta de CrowdStrike. |
Lowest Severity Score To Fetch |
Optional
Es la puntuación de gravedad más baja de las detecciones que se recuperarán. Si no se proporciona ningún valor, el conector no aplica este filtro. El valor máximo es El valor predeterminado es El conector también admite los siguientes valores para este parámetro:
|
Lowest Confidence Score To Fetch |
Optional
Es la puntuación de confianza más baja de las detecciones que se recuperarán. Si no se proporciona ningún valor, el conector no aplica este filtro. El valor máximo es El valor predeterminado es |
Max Hours Backwards |
Optional
Es la cantidad de horas anteriores al momento actual desde las que se recuperarán las detecciones. El valor predeterminado es |
Max Detections To Fetch |
Optional
Es la cantidad de detecciones que se procesarán en una sola iteración del conector. El valor predeterminado es |
Case Name Template |
Optional
Si se proporciona, el conector agrega una clave nueva llamada Puedes proporcionar marcadores de posición
en el siguiente formato: [ Nota: El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
Alert Name Template |
Optional
Si se proporciona, el conector usa este valor para el nombre de la alerta de Google SecOps. Puedes proporcionar marcadores de posición
en el siguiente formato: [ Nota: Si no proporcionas ningún valor o una plantilla no válida, el conector usará el nombre de alerta predeterminado. El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
Disable Overflow |
Optional Si se selecciona, el conector ignora el mecanismo de desbordamiento. No se selecciona de forma predeterminada. |
Verify SSL |
Obligatorio
Si se selecciona, la integración verifica que el certificado SSL para la conexión con el servidor de CrowdStrike sea válido. No se selecciona de forma predeterminada. |
Proxy Server Address |
Optional
Es una dirección del servidor proxy que se usará. |
Proxy Username |
Optional
Es un nombre de usuario de proxy para autenticarse. |
Proxy Password |
Optional
Es una contraseña de proxy para autenticarse. |
Customer ID |
Optional Es el ID de cliente del usuario en el que se ejecutará el conector. Para usar en entornos multiusuario (MSSP). |
Reglas del conector
Este conector admite proxies.
Evento del conector
A continuación, se muestra un ejemplo del evento del conector:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://example.com/identity-protection/detections/",
"id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
Obsoleto: Conector de incidentes de CrowdStrike
Usa el conector de incidentes de CrowdStrike para extraer incidentes y comportamientos relacionados de CrowdStrike.
La lista dinámica funciona con el parámetro incident_type.
Parámetros del conector
El conector de incidentes de CrowdStrike requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Product Field Name |
Obligatorio. Es el nombre del campo de origen que contiene el nombre deProduct Field.
El valor predeterminado es |
Event Field Name |
Obligatorio. Es el nombre del campo de origen que contiene el nombre deEvent Field.
El valor predeterminado es |
Environment Field Name |
Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra, se usa el entorno predeterminado.El valor predeterminado es |
Environment Regex Pattern |
Es opcional. Es un patrón de expresión regular para manipular el valor del campo de entorno.Usa el |
Script Timeout (Seconds) |
Obligatorio. Es el límite de tiempo de espera para el proceso de Python.El valor predeterminado es |
API Root |
Obligatorio. La raíz de la API de la instancia de CrowdStrike.El valor predeterminado es |
Client ID |
Obligatorio. Es el ID de cliente de la cuenta de CrowdStrike. |
Client Secret |
Obligatorio. Es el secreto del cliente de la cuenta de CrowdStrike. |
Lowest Severity Score To Fetch |
Es opcional. Es la puntuación de gravedad más baja de los incidentes que se recuperarán. AdmiteLow,
Medium, High, Critical o valores numéricos
hasta 100. |
Max Hours Backwards |
Es opcional. Es la ventana de visualización de recuperación en horas.El valor predeterminado es |
Max Incidents To Fetch |
Es opcional. Es la cantidad de incidentes por iteración. El máximo es100.
El valor predeterminado es |
Use dynamic list as a blocklist |
Obligatorio. Si se selecciona, la lista dinámica actúa como una lista de entidades bloqueadas. |
Disable Overflow |
Es opcional. Si se selecciona, se ignora el mecanismo de desbordamiento. |
Verify SSL |
Obligatorio. Verifica el certificado SSL de la conexión. |
Proxy Parameters |
Es opcional. IncluyeProxy Server Address, Proxy Username y
Proxy Password. |
Customer ID |
Es opcional. ID de usuario para entornos multiusuario (MSSP). |
Reglas del conector
Este conector admite proxies.
Eventos de conectores
El conector admite dos tipos de eventos: basados en incidentes y basados en el comportamiento.
Ejemplo: Evento basado en incidentes
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"state": "closed",
"tactics": ["Defense Evasion", "Privilege Escalation"],
"fine_score": 21
}
Ejemplo: Evento basado en el comportamiento
{
"behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"timestamp": "2023-01-09T11:24:25Z",
"tactic": "Privilege Escalation",
"technique": "Bypass User Account Control"
}
CrowdStrike: Conector de alertas
Usa el conector de alertas de CrowdStrike para extraer alertas de CrowdStrike.
La lista dinámica funciona con el parámetro display_name.
Para recuperar las detecciones de Identity Protection, usa el conector de Identity Protection Detections.
Entradas del conector
El conector de alertas de CrowdStrike requiere los siguientes parámetros:
| Parámetros | |
|---|---|
Product Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Event Field Name |
Obligatorio
Es el nombre del campo de origen que contiene el nombre de
El valor predeterminado es |
Environment Field Name |
Optional
Es el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se usa el entorno predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Optional
Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo
Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Script Timeout (Seconds) |
Obligatorio Es el límite de tiempo de espera en segundos para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
API Root |
Obligatorio
La raíz de la API de la instancia de CrowdStrike. El valor predeterminado es |
Client ID |
Obligatorio
Es el ID de cliente de la cuenta de CrowdStrike. |
Client Secret |
Obligatorio
Es el secreto del cliente de la cuenta de CrowdStrike. |
Case Name Template |
Optional
Si se proporciona, el conector agrega una clave nueva llamada Puedes proporcionar marcadores de posición
en el siguiente formato: [ Nota: El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
Alert Name Template |
Optional
Si se proporciona, el conector usa este valor para el nombre de la alerta de Google SecOps. Puedes proporcionar marcadores de posición
en el siguiente formato: [ Nota: Si no proporcionas ningún valor o una plantilla no válida, el conector usará el nombre de alerta predeterminado. El conector usa el primer evento de Google SecOps para los marcadores de posición. Este parámetro solo permite claves con un valor de cadena. |
Lowest Severity Score To Fetch |
Optional
Es la puntuación de gravedad más baja de los incidentes que se recuperarán. Si no se proporciona ningún valor, el conector transfiere incidentes con todos los niveles de gravedad. El valor máximo es
En la IU de CrowdStrike, el mismo valor se presenta dividido por 10. |
Max Hours Backwards |
Optional
Es la cantidad de horas antes del momento actual desde las que se recuperarán los incidentes. El valor predeterminado es |
Max Alerts To Fetch |
Optional
Es la cantidad de alertas que se procesarán en una sola iteración del conector. El valor máximo es El valor predeterminado es |
Use dynamic list as a blocklist |
Obligatorio
Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas. No se selecciona de forma predeterminada. |
Disable Overflow |
Optional Si se selecciona, el conector ignora el mecanismo de desbordamiento. No se selecciona de forma predeterminada. |
Verify SSL |
Obligatorio
Si se selecciona, la integración verifica que el certificado SSL para la conexión con el servidor de CrowdStrike sea válido. No se selecciona de forma predeterminada. |
Proxy Server Address |
Optional
Es una dirección del servidor proxy que se usará. |
Proxy Username |
Optional
Es un nombre de usuario de proxy para autenticarse. |
Proxy Password |
Optional
Es una contraseña de proxy para autenticarse. |
Customer ID |
Optional Es el ID de cliente del usuario en el que se ejecutará el conector. Para usar en entornos multiusuario (MSSP). |
Reglas del conector
Este conector admite proxies.
Eventos de conectores
El siguiente es un ejemplo de un evento basado en alertas:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12",
"aggind:123456789abcdef123456789abcdef12",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
"id": "ind:123456789abcdef123456789abcdef12",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
Trabajos
Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.
Crowdstrike Falcon: Sincroniza alertas
Usa el trabajo Crowdstrike Falcon - Sync Alerts para sincronizar comentarios y estados de forma bidireccional entre Google SecOps y Crowdstrike.
Requisitos laborales
Para asegurarte de que el trabajo identifique y sincronice los datos correctos, se deben cumplir las siguientes condiciones:
El caso de Google SecOps debe contener la etiqueta
Crowdstrike Alert.Si la alerta no se originó en el conector de alertas ni en el conector de detección de protecciones de identidad, debes agregar un valor de contexto de alerta de
Alert_IDpara que el trabajo identifique el registro de Crowdstrike correcto.
Lógica operativa
El trabajo sincroniza los datos en dos etapas. En la primera etapa, se sincronizan los datos de Crowdstrike con las alertas de Google SecOps. En la segunda etapa, se sincronizan los datos de alertas de Google SecOps con las alertas de Crowdstrike.
El trabajo usa Max Hours Backwards para la iteración inicial. Para todas las solicitudes
posteriores, el trabajo usa el start_time de la última alerta procesada.
Lógica de sincronización de comentarios
El trabajo usa last_update_time para filtrar comentarios y evitar entradas
duplicadas. Los comentarios sincronizados usan las siguientes estructuras:
Enviado desde Crowdstrike:
Crowdstrike {ticket_id}: {comment}Se envió desde Google SecOps:
Google SecOps {case_id}: {comment}
Los comentarios de cierre de casos de Google SecOps también se sincronizan con Crowdstrike como comentarios.
Asignación de estados y veredictos
Cuando se cierra una alerta en Google SecOps, el trabajo actualiza la
alerta de Crowdstrike correspondiente con el estado Closed. El trabajo también aplica
la siguiente asignación para los veredictos de los analistas:
Si el Motivo del cierre es
Malicious, el Veredicto de Crowdstrike se establece enTrue Positive.Si el Motivo del cierre es
Not Malicious, el Veredicto de Crowdstrike se establece enFalse Positive.Para todos los demás motivos de cierre, el estado se establece en
Closedsin un veredicto.
Parámetros del trabajo
El trabajo Crowdstrike Falcon - Sync Alerts requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Environment Name |
Obligatorio. Es el nombre del entorno en el que el trabajo busca alertas. El valor predeterminado es |
API Root |
Obligatorio. La raíz de la API de la instancia de Crowdstrike. El valor predeterminado es |
Client ID |
Obligatorio. Es el ID de cliente de la cuenta de Crowdstrike. |
Client Secret |
Obligatorio. Es el secreto del cliente de la cuenta de Crowdstrike. |
Max Hours Backwards |
Obligatorio. Es la cantidad de horas anteriores a la hora actual para sincronizar las alertas durante la primera iteración del trabajo. El valor predeterminado es |
Verify SSL |
Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Crowdstrike. Habilitada de forma predeterminada. |
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.