Mengintegrasikan CrowdStrike Falcon dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan CrowdStrike Falcon dengan Google Security Operations.

Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap integrasi ini dari bucket Cloud Storage.

Kasus penggunaan

Di platform Google SecOps, integrasi CrowdStrike Falcon menyelesaikan kasus penggunaan berikut:

• Pembatasan malware otomatis: gunakan kemampuan platform Google SecOps untuk otomatis mengarantina endpoint yang terpengaruh, mengambil hash file untuk analisis lebih lanjut, dan mencegah penyebaran malware. Pembatasan malware otomatis diaktifkan saat email phishing memicu pemberitahuan CrowdStrike Falcon untuk download file yang mencurigakan.

• Respons insiden yang dipercepat: gunakan Google SecOps untuk mengumpulkan data kontekstual seperti hierarki proses dan koneksi jaringan, mengisolasi host yang disusupi, dan membuat tiket untuk investigasi.

• Perburuan dan investigasi ancaman: gunakan kemampuan platform Google SecOps untuk mengkueri CrowdStrike Falcon guna mengetahui tindakan pengguna, modifikasi file, dan koneksi jaringan tertentu selama periode yang ditentukan. Perburuan dan investigasi ancaman memungkinkan analis keamanan Anda menyelidiki potensi ancaman orang dalam dan menganalisis aktivitas endpoint historis sekaligus menyederhanakan proses investigasi.

• Respons dan perbaikan phishing: gunakan CrowdStrike Falcon dan platform Google SecOps untuk memindai lampiran email, membukanya di lingkungan sandbox, dan otomatis memblokir alamat email pengirim jika aktivitas berbahaya terdeteksi.

• Manajemen kerentanan: gunakan kemampuan platform Google SecOps untuk otomatis membuat tiket bagi setiap sistem yang rentan, memprioritaskannya berdasarkan tingkat keparahan dan nilai aset, serta memicu alur kerja patching otomatis. Manajemen kerentanan membantu Anda mengidentifikasi kerentanan kritis di beberapa endpoint.

Sebelum memulai

Sebelum mengonfigurasi integrasi di Google SecOps, selesaikan langkah-langkah berikut:

1. Konfigurasi klien CrowdStrike Falcon API.

2. Mengonfigurasi izin tindakan.

3. Mengonfigurasi izin konektor.

Mengonfigurasi klien API CrowdStrike Falcon

Untuk menentukan klien API CrowdStrike dan melihat, membuat, atau mengubah klien atau kunci API, Anda harus memiliki peran FalconAdministrator.

Rahasia hanya ditampilkan saat Anda membuat klien API baru atau mereset klien API.

Untuk mengonfigurasi klien CrowdStrike Falcon API, selesaikan langkah-langkah berikut:

1. Di UI Falcon, buka Support and resources > Resources and tools > klien API dan kunci. Di halaman ini, Anda dapat menemukan klien yang ada, menambahkan klien API baru, atau melihat log audit.
2. Klik Buat Klien API.
3. Berikan nama untuk klien API baru Anda.
4. Pilih cakupan API yang sesuai.

5. Klik Create. Nilai Client ID dan Client Secret akan muncul.

   Ini adalah satu-satunya waktu Anda melihat nilai rahasia klien. Pastikan untuk menyimpannya dengan aman. Jika Anda kehilangan rahasia klien, reset klien API Anda dan perbarui semua aplikasi yang mengandalkan rahasia klien dengan kredensial baru.

Untuk mengetahui detail selengkapnya terkait akses ke CrowdStrike API, lihat panduan Mendapatkan Akses ke CrowdStrike API di blog CrowdStrike.

Mengonfigurasi izin tindakan

Lihat izin minimal untuk tindakan, seperti yang tercantum dalam tabel berikut:

Tindakan	Izin yang diperlukan
Menambahkan Komentar Pemberitahuan	Alerts.Read Alerts.Write
Menambahkan Komentar ke Deteksi	Detections.Read Detection.Write
Menambahkan Komentar Deteksi Perlindungan Identitas	Alerts.Read Alerts.Write
Tambahkan Komentar Insiden	Incidents.Write
Deteksi Kedekatan	Detections.Read Detection.Write
Berisi Endpoint	Hosts.Read Hosts.Write
Menghapus IOC	IOC Management.Read IOC Management.Write
Download File	Hosts.Read Real time response.Read Real time response.Write
Jalankan Perintah	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write* untuk perintah hak istimewa penuh.
Mendapatkan Detail Pemberitahuan	Alerts.Read
Mendapatkan Offset Peristiwa	Event streams.Read
Mendapatkan Host berdasarkan IOC	Tidak tersedia: Tidak digunakan lagi
Mendapatkan Informasi Host	Hosts.Read
Mendapatkan Nama Proses Berdasarkan IOC	Tidak tersedia: Tidak digunakan lagi
Sembunyikan Penyelenggara	Hosts.Read Hosts.Write
Endpoint yang Berisi Lift	Hosts.Read Hosts.Write
Membuat Daftar Host	Hosts.Read
Mencantumkan Kerentanan Host	Hosts.Read Spotlight vulnerabilities.Read
Mencantumkan IOC yang Diupload	IOC Management.Read
Pemindaian On-Demand	On-demand scans (ODS).Read On-demand scans (ODS).Write
Ping	Hosts.Read
Jalankan Skrip	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write
Peristiwa Penelusuran	NGSIEM.Read NGSIEM.Write
Mengirim File	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Kirim URL	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Perbarui Notifikasi	Alerts.Read Alerts.Write
Deteksi Update	Detections.Read Detection.Write User management.Read
Memperbarui Deteksi Perlindungan Identitas	Alerts.Read Alerts.Write
Perbarui Insiden	Incidents.Write
Memperbarui Informasi IOC	IOC Management.Read IOC Management.Write
Mengupload IOC	IOC Management.Read IOC Management.Write

Mengonfigurasi izin konektor

Lihat izin minimal untuk konektor, seperti yang tercantum dalam tabel berikut:

Konektor	Izin yang diperlukan
CrowdStrike Alerts Connector	Alerts.Read
Konektor Deteksi CrowdStrike	Detection.Read
Konektor Peristiwa Streaming CrowdStrike Falcon	Event streams.Read
Konektor Deteksi CrowdStrike Identity Protection	Alerts.Read
CrowdStrike Incidents Connector	Incidents.Read

Endpoint

Integrasi CrowdStrike Falcon berinteraksi dengan endpoint API CrowdStrike Falcon berikut:

Endpoint API umum:

• /oauth2/token

Host dan perangkat:

• /devices/entities/devices/v1
• /devices/entities/devices-actions/v2

Deteksi dan peristiwa:

• /detections/entities/detections/v2
• /detections/entities/summaries/GET/v1
• /protection/entities/detections/v1
• /humio/api/v1/repositories/{repository}/queryjobs
• /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

Indikator penyusupan (IOC):

• /intel/entities/indicators/v1
• /intel/queries/devices/v1

Kerentanan:

• /devices/combined/devices/vulnerabilities/v1

Respons dan penahanan:

• /respond/entities/command-queues/v1
• /respond/entities/extracted-files/v1

Insiden:

• /incidents/entities/incidents/GET/v1
• /incidents/entities/incidents/comments/GET/v1
• /incidents/entities/incidents/GET/v1

Analisis file dan URL:

• /malware-uploads/entities/submissions/v2
• /url/entities/scans/v1

Parameter integrasi

Agar integrasi berfungsi dengan baik, diperlukan CrowdStrike Falcon versi premium dengan kemampuan penuh. Tindakan tertentu tidak berfungsi dengan versi dasar CrowdStrike Falcon.

Integrasi CrowdStrike Falcon memerlukan parameter berikut:

Parameter
API Root	Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com
Client API ID	Wajib Client ID untuk CrowdStrike API.
Client API Secret	Wajib Rahasia klien untuk CrowdStrike API.
Verify SSL	Jika dipilih, integrasi akan memverifikasi apakah sertifikat SSL untuk terhubung ke server CrowdStrike Falcon valid. Tidak dipilih secara default.
Customer ID	Opsional ID pelanggan tenant tempat integrasi akan dijalankan. Untuk digunakan di lingkungan multi-tenant (MSSP).

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Sebelum melanjutkan konfigurasi integrasi, konfigurasikan izin minimal yang diperlukan untuk setiap item integrasi. Untuk mengetahui detail selengkapnya, lihat Izin tindakan.

Menambahkan Komentar Pemberitahuan

Gunakan tindakan Add Alert Comment untuk menambahkan komentar ke pemberitahuan di CrowdStrike Falcon.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Tambahkan Komentar Pemberitahuan memerlukan parameter berikut:

Parameter
Alert	Wajib ID pemberitahuan yang akan diperbarui.
Comment	Wajib Komentar yang akan ditambahkan ke notifikasi.

Output tindakan

Tindakan Add Alert Comment memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Add Alert Comment memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Alert Comment". Reason: ERROR_REASON Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Add Alert Comment:

Nama hasil skrip	Nilai
is_success	True atau False

Menambahkan Komentar ke Deteksi - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Tambahkan Komentar Pemberitahuan.

Gunakan tindakan Add Comment to Detection untuk menambahkan komentar ke deteksi di CrowdStrike Falcon.

Tindakan ini berjalan di semua entity.

Input tindakan

Tindakan Add Comment to Detection memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi yang akan ditambahi komentar.
Comment	Wajib. Komentar yang akan ditambahkan ke deteksi.

Output tindakan

Tindakan Add Comment to Detection memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Add Comment to Detection:

Nama hasil skrip	Nilai
is_success	true atau false

Menambahkan Komentar Deteksi Perlindungan Identitas

Gunakan tindakan Add Identity Protection Detection Comment untuk menambahkan komentar ke deteksi perlindungan identitas di CrowdStrike.

Tindakan ini memerlukan lisensi Identity Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Add Identity Protection Detection Comment memerlukan parameter berikut:

Parameter
Detection ID	Wajib ID deteksi yang akan diperbarui.
Comment	Wajib Komentar yang akan ditambahkan ke deteksi.

Output tindakan

Tindakan Add Identity Protection Detection Comment memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Add Identity Protection Detection Comment memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Add Identity Protection Detection Comment:

Nama hasil skrip	Nilai
is_success	True atau False

Tambahkan Komentar Insiden - Tidak Digunakan Lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Add Incident Comment untuk menambahkan komentar ke insiden di CrowdStrike.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Add Incident Comment memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib. ID insiden yang akan diperbarui.
Comment	Wajib. Komentar yang akan ditambahkan ke insiden.

Output tindakan

Tindakan Add Incident Comment memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Add Incident Comment memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the incident INCIDENT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Incident Comment". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Add Incident Comment:

Nama hasil skrip	Nilai
is_success	True atau False

Deteksi Tutup - Tidak Digunakan Lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Close Detection untuk menutup deteksi CrowdStrike Falcon.

Catatan: Tindakan Update Alert adalah praktik terbaik untuk kasus penggunaan ini dan harus digunakan sebagai pengganti tindakan ini dengan memberikan status yang sesuai.

Tindakan ini berjalan di semua entity.

Input tindakan

Tindakan Tutup Deteksi memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi yang akan ditutup.
Hide Detection	Opsional. Jika dipilih, tindakan ini akan menyembunyikan deteksi di UI. Dipilih secara default.

Output tindakan

Tindakan Tutup Deteksi memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Close Detection:

Nama hasil skrip	Nilai
is_success	True atau False

Berisi Endpoint

Gunakan tindakan Contain Endpoint untuk mengisolasi endpoint di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Contain Endpoint memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Fail If Timeout	Opsional Jika dipilih dan tidak semua endpoint diisolasi, tindakan akan gagal. Dipilih secara default.

Output tindakan

Tindakan Contain Endpoint memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entity

Tindakan Contain Endpoint mendukung logika pengayaan entity berikut:

Kolom pengayaan	Logika
status	Menampilkan jika ada dalam hasil JSON
modified_timestamp	Menampilkan jika ada dalam hasil JSON
major_version	Menampilkan jika ada dalam hasil JSON
policies	Menampilkan jika ada dalam hasil JSON
config_id_platform	Menampilkan jika ada dalam hasil JSON
bios_manufacturer	Menampilkan jika ada dalam hasil JSON
system_manufacturer	Menampilkan jika ada dalam hasil JSON
device_policies	Menampilkan jika ada dalam hasil JSON
meta	Menampilkan jika ada dalam hasil JSON
pointer_size	Menampilkan jika ada dalam hasil JSON
last_seen	Menampilkan jika ada dalam hasil JSON
agent_local_time	Menampilkan jika ada dalam hasil JSON
first_seen	Menampilkan jika ada dalam hasil JSON
service_pack_major	Menampilkan jika ada dalam hasil JSON
slow_changing_modified_timestamp	Menampilkan jika ada dalam hasil JSON
service_pack_minor	Menampilkan jika ada dalam hasil JSON
system_product_name	Menampilkan jika ada dalam hasil JSON
product_type_desc	Menampilkan jika ada dalam hasil JSON
build_number	Menampilkan jika ada dalam hasil JSON
cid	Menampilkan jika ada dalam hasil JSON
local_ip	Menampilkan jika ada dalam hasil JSON
external_ip	Menampilkan jika ada dalam hasil JSON
hostname	Menampilkan jika ada dalam hasil JSON
config_id_build	Menampilkan jika ada dalam hasil JSON
minor_version	Menampilkan jika ada dalam hasil JSON
platform_id	Menampilkan jika ada dalam hasil JSON
os_version	Menampilkan jika ada dalam hasil JSON
config_id_base	Menampilkan jika ada dalam hasil JSON
provision_status	Menampilkan jika ada dalam hasil JSON
mac_address	Menampilkan jika ada dalam hasil JSON
bios_version	Menampilkan jika ada dalam hasil JSON
platform_name	Menampilkan jika ada dalam hasil JSON
agent_load_flags	Menampilkan jika ada dalam hasil JSON
device_id	Menampilkan jika ada dalam hasil JSON
product_type	Menampilkan jika ada dalam hasil JSON
agent_version	Menampilkan jika ada dalam hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Contain Endpoint:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}

Pesan output

Tindakan Contain Endpoint memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Contain Endpoint". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID	Tindakan gagal. Periksa status endpoint dan nilai parameter Fail If Timeout.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Contain Endpoint:

Nama hasil skrip	Nilai
is_success	True atau False

Menghapus IOC

Gunakan tindakan Delete IOC untuk menghapus IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entity nama host sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Delete IOC berjalan pada entity berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

Tidak ada.

Output tindakan

Tindakan Delete IOC memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Delete IOC:

Nama hasil skrip	Nilai
is_success	True atau False

Pesan output

Di Case Wall, tindakan Delete IOC memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID All of the provided IOCs were not a part of CrowdStrike Falcon instance.	Tindakan berhasil.
Error executing action "Delete IOC". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Download File

Gunakan tindakan Download File untuk mendownload file dari host di CrowdStrike Falcon.

Tindakan ini memerlukan entitas Nama file dan alamat IP atau Nama host untuk berada dalam cakupan pemberitahuan Google SecOps.

Anda dapat menemukan file yang didownload dalam paket zip yang dilindungi sandi. Untuk mengakses file, berikan sandi berikut: infected.

Tindakan Download File berjalan pada entity berikut:

• Nama file
• Alamat IP
• Host

Input tindakan

Tindakan Download File memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Download Folder Path	Wajib Jalur ke folder yang menyimpan file yang didownload. Formatnya bergantung pada deployment Anda: Deployment SaaS: Jalurnya bersifat internal ke platform yang dihosting. Deployment Jarak Jauh: Jalur harus berupa jalur direktori yang absolut dan valid di komputer lokal tempat Agen Jarak Jauh diinstal (seperti, C:\temp\download untuk Windows atau /var/tmp/download/ untuk Linux).
Overwrite	Wajib Jika dipilih, tindakan ini akan menimpa file dengan nama yang sama. Tidak dipilih secara default.

Output tindakan

Tindakan Download File memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel entitas	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel entitas

Tindakan Download File menyediakan tabel entity berikut:

Entity
filepath	Jalur absolut ke file.

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Download File:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}

Pesan output

Tindakan Download File memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Download File". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.	Tindakan gagal. Periksa nilai parameter Overwrite atau hapus file.
Waiting for results for the following entities: ENTITY_ID	Pesan asinkron.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Download File:

Nama hasil skrip	Nilai
is_success	True atau False

Jalankan Perintah

Gunakan tindakan Execute Command untuk menjalankan perintah pada host di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Execute Command memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Command	Wajib Tentukan perintah yang akan dijalankan di host.
Admin Command	Opsional Jika dipilih, tindakan akan menjalankan perintah dengan izin administratif. Hal ini diperlukan untuk perintah tertentu seperti put. Tidak dipilih secara default.
Hostname	Opsional Daftar nama host yang dipisahkan koma, tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Queue Offline	Opsional Jika dipilih, perintah yang menargetkan host offline akan diantrekan dan dijalankan setelah host terhubung kembali ke jaringan. Tidak dipilih secara default.

Output tindakan

Tindakan Execute Command memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Case Wall, tindakan Execute Command memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Execute Command". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Waiting for results for the following entities: ENTITY_ID	Pesan asinkron.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute Command:

Nama hasil skrip	Nilai
is_success	True atau False

Mendapatkan Detail Pemberitahuan

Gunakan tindakan Get Alert Details untuk mengambil detail pemberitahuan di CrowdStrike Falcon.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Alert Details memerlukan parameter berikut:

Parameter	Deskripsi
Alert ID	Wajib. ID unik notifikasi yang detailnya akan diambil.

Output tindakan

Tindakan Get Alert Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Alert Details:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "[e-mail]",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Tindakan Dapatkan Detail Notifikasi dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.	Tindakan berhasil.
Error executing action "Get Alert Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Alert Details:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Offset Peristiwa

Gunakan tindakan Get Event Offset untuk mengambil offset peristiwa yang digunakan oleh Streaming Events Connector.

Tindakan ini akan mulai memproses peristiwa dari 30 hari yang lalu.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Dapatkan Offset Peristiwa memerlukan parameter berikut:

Parameter
Max Events To Process	Wajib Jumlah peristiwa yang perlu diproses oleh tindakan mulai dari 30 hari yang lalu. Nilai defaultnya adalah 10000.

Output tindakan

Tindakan Get Event Offset memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Event Offset:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}

Pesan output

Tindakan Get Event Offset memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved event offset in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "Get Event Offset". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Offset Peristiwa:

Nama hasil skrip	Nilai
is_success	True atau False

Mendapatkan Informasi Host

Gunakan tindakan Get Host Information untuk mengambil informasi tentang nama host dari CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Hostname
• Alamat IP

Input tindakan

Tindakan Get Host Information memerlukan parameter berikut:

Parameter
Hostname	Opsional Daftar nama host yang dipisahkan koma untuk disembunyikan di CrowdStrike Falcon. Tindakan ini memproses nilai input yang diberikan dalam parameter ini serta entity Nama Host dan Alamat IP yang dilampirkan ke kasus.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Customer ID	Opsional ID Pelanggan (CID) CrowdStrike unik yang digunakan untuk menargetkan tenant tertentu. Parameter ini diperlukan di Falcon Flight Control atau lingkungan multi-tenant untuk melakukan tindakan pada CID turunan tertentu.

Output tindakan

Tindakan Get Host Information memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entity

Tindakan Get Host Information mendukung logika pengayaan entity berikut:

Kolom pengayaan	Logika
modified_timestamp	Menampilkan jika ada dalam hasil JSON
major_version	Menampilkan jika ada dalam hasil JSON
site_name	Menampilkan jika ada dalam hasil JSON
platform_id	Menampilkan jika ada dalam hasil JSON
config_id_platform	Menampilkan jika ada dalam hasil JSON
system_manufacturer	Menampilkan jika ada dalam hasil JSON
meta	Menampilkan jika ada dalam hasil JSON
first_seen	Menampilkan jika ada dalam hasil JSON
service_pack_minor	Menampilkan jika ada dalam hasil JSON
product_type_desc	Menampilkan jika ada dalam hasil JSON
build_number	Menampilkan jika ada dalam hasil JSON
hostname	Menampilkan jika ada dalam hasil JSON
config_id_build	Menampilkan jika ada dalam hasil JSON
minor_version	Menampilkan jika ada dalam hasil JSON
os_version	Menampilkan jika ada dalam hasil JSON
provision_status	Menampilkan jika ada dalam hasil JSON
mac_address	Menampilkan jika ada dalam hasil JSON
bios_version	Menampilkan jika ada dalam hasil JSON
agent_load_flags	Menampilkan jika ada dalam hasil JSON
status	Menampilkan jika ada dalam hasil JSON
bios_manufacturer	Menampilkan jika ada dalam hasil JSON
machine_domain	Menampilkan jika ada dalam hasil JSON
agent_local_time	Menampilkan jika ada dalam hasil JSON
slow_changing_modified_timestamp	Menampilkan jika ada dalam hasil JSON
service_pack_major	Menampilkan jika ada dalam hasil JSON
device_id	Menampilkan jika ada dalam hasil JSON
system_product_name	Menampilkan jika ada dalam hasil JSON
product_type	Menampilkan jika ada dalam hasil JSON
local_ip	Menampilkan jika ada dalam hasil JSON
external_ip	Menampilkan jika ada dalam hasil JSON
cid	Menampilkan jika ada dalam hasil JSON
platform_name	Menampilkan jika ada dalam hasil JSON
config_id_base	Menampilkan jika ada dalam hasil JSON
last_seen	Menampilkan jika ada dalam hasil JSON
pointer_size	Menampilkan jika ada dalam hasil JSON
agent_version	Menampilkan jika ada dalam hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Host Information:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]

Pesan output

Tindakan Get Host Information memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Get Host Information". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Host Information:

Nama hasil skrip	Nilai
is_success	True atau False

Get Hosts by IOC - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Mencantumkan host yang terkait dengan IOC di CrowdStrike Falcon. Entity yang didukung: Nama Host, URL, Alamat IP, dan Hash.
Catatan: Entity nama host diperlakukan sebagai IOC domain. Tindakan ini mengekstrak bagian domain dari URL. Hanya hash MD5 dan SHA-256 yang didukung.

Entity

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

T/A

Output tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
  

Pengayaan entity

Kolom pengayaan	Logika
modified_timestamp	Menampilkan jika ada dalam hasil JSON
major_version	Menampilkan jika ada dalam hasil JSON
site_name	Menampilkan jika ada dalam hasil JSON
platform_id	Menampilkan jika ada dalam hasil JSON
config_id_platform	Menampilkan jika ada dalam hasil JSON
system_manufacturer	Menampilkan jika ada dalam hasil JSON
meta	Menampilkan jika ada dalam hasil JSON
first_seen	Menampilkan jika ada dalam hasil JSON
service_pack_minor	Menampilkan jika ada dalam hasil JSON
product_type_desc	Menampilkan jika ada dalam hasil JSON
build_number	Menampilkan jika ada dalam hasil JSON
hostname	Menampilkan jika ada dalam hasil JSON
config_id_build	Menampilkan jika ada dalam hasil JSON
minor_version	Menampilkan jika ada dalam hasil JSON
os_version	Menampilkan jika ada dalam hasil JSON
provision_status	Menampilkan jika ada dalam hasil JSON
mac_address	Menampilkan jika ada dalam hasil JSON
bios_version	Menampilkan jika ada dalam hasil JSON
agent_load_flags	Menampilkan jika ada dalam hasil JSON
status	Menampilkan jika ada dalam hasil JSON
bios_manufacturer	Menampilkan jika ada dalam hasil JSON
machine_domain	Menampilkan jika ada dalam hasil JSON
Device_policies	Menampilkan jika ada dalam hasil JSON
agent_local_time	Menampilkan jika ada dalam hasil JSON
slow_changing_modified_timestamp	Menampilkan jika ada dalam hasil JSON
service_pack_major	Menampilkan jika ada dalam hasil JSON
system_product_name	Menampilkan jika ada dalam hasil JSON
product_type	Menampilkan jika ada dalam hasil JSON
local_ip	Menampilkan jika ada dalam hasil JSON
external_ip	Menampilkan jika ada dalam hasil JSON
cid	Menampilkan jika ada dalam hasil JSON
platform_name	Menampilkan jika ada dalam hasil JSON
config_id_base	Menampilkan jika ada dalam hasil JSON
kebijakan	Menampilkan jika ada dalam hasil JSON
last_seen	Menampilkan jika ada dalam hasil JSON
pointer_size	Menampilkan jika ada dalam hasil JSON
agent_version	Menampilkan jika ada dalam hasil JSON

Insight entitas

T/A

Repositori kasus

Jenis Hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil dan setidaknya satu host yang terkait dengan IOC yang diberikan ditemukan (is_success=true): "Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon." Jika tidak ada host terkait yang ditemukan (is_success=false): "No hosts were related to the provided IOCs in CrowdStrike Falcon." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error kritis dilaporkan: "Error executing action "{action name}". Alasan: {traceback}."	Umum

Mendapatkan Nama Proses berdasarkan IOC - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Mengambil proses yang terkait dengan IOC dan perangkat yang disediakan di CrowdStrike Falcon. Entity yang didukung: Nama Host, URL, Alamat IP, dan Hash.
Catatan: Entity nama host diperlakukan sebagai IOC domain. Tindakan ini mengekstrak bagian domain dari URL. Hanya hash MD5, SHA-1, dan SHA-256 yang didukung. Entitas Alamat IP diperlakukan sebagai IOC.

Parameter

Nama Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Perangkat	11	T/A	Ya	Tentukan daftar perangkat yang dipisahkan koma yang ingin Anda ambil prosesnya terkait dengan entity.

Dijalankan Pada

Tindakan ini berjalan di entity berikut:

• Hostname
• URL
• Hash

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
  

Pengayaan Entity

Nama Kolom Pengayaan	Logika - Kapan harus diterapkan
Nama Proses	Menampilkan jika ada dalam hasil JSON
Indikator	Menampilkan jika ada dalam hasil JSON
Nama Host	Menampilkan jika ada dalam hasil JSON

Insight Entity

T/A

Repositori Kasus

Jenis Hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook: Jika ditemukan proses yang terkait dengan entitas untuk setidaknya satu endpoint (is_success=true): "Successfully retrieved processes related to the IOCs on the following endpoints in CrowdStrike Falcon: {device name}." Jika tidak ada proses yang ditemukan untuk setidaknya satu endpoint atau perangkat tidak ditemukan (is_success=true): "No related processes were found on the following endpoints in CrowdStrike Falcon: {device name}." Jika tidak ada proses yang ditemukan untuk semua endpoint atau tidak ada perangkat yang ditemukan (is_success=false): "No related processes were found on the provided endpoints in CrowdStrike Falcon. Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error kritis dilaporkan: "Error executing "{action name}". Alasan: {trace back}."

Sembunyikan Penyelenggara

Gunakan tindakan Hide Hosts untuk menyembunyikan satu atau beberapa host dari konsol CrowdStrike Falcon.

Tindakan ini berjalan di entity Google SecOps berikut:

• Hostname
• Alamat IP

Input tindakan

Tindakan Hide Hosts memerlukan parameter berikut:

Parameter	Deskripsi
Hostname	Opsional. Daftar nama host yang dipisahkan koma untuk disembunyikan di CrowdStrike Falcon. Tindakan ini memproses nilai input yang diberikan dalam parameter ini serta entity Hostname dan IP Address yang dilampirkan ke kasus.
Customer ID	Opsional. ID Pelanggan (CID) CrowdStrike unik yang digunakan untuk menargetkan tenant tertentu. Parameter ini diperlukan di Falcon Flight Control atau lingkungan multi-tenant untuk melakukan tindakan pada CID turunan tertentu.

Output tindakan

Tindakan Sembunyikan Host memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Hide Hosts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully hid the following hosts in Crowdstrike: HOSTS. Action wasn't able to hide the following hosts in Crowdstrike: HOSTS. None of the provided hosts were hidden.	Tindakan berhasil.
Error executing action "Hide Host". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Sembunyikan Host:

Nama hasil skrip	Nilai
is_success	true atau false

Endpoint yang Berisi Lift

Gunakan tindakan Lift Contained Endpoint untuk mencabut pembatasan endpoint di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Lift Contained Endpoint memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Fail If Timeout	Opsional Jika dipilih dan pembatasan tidak dicabut di semua endpoint, tindakan akan gagal. Dipilih secara default.

Output tindakan

Tindakan Lift Contained Endpoint memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entity

Tindakan Lift Contained Endpoint mendukung pengayaan entity berikut:

Kolom pengayaan	Logika
status	Menampilkan jika ada dalam hasil JSON
modified_timestamp	Menampilkan jika ada dalam hasil JSON
major_version	Menampilkan jika ada dalam hasil JSON
config_id_platform	Menampilkan jika ada dalam hasil JSON
system_manufacturer	Menampilkan jika ada dalam hasil JSON
device_policies	Menampilkan jika ada dalam hasil JSON
meta	Menampilkan jika ada dalam hasil JSON
pointer_size	Menampilkan jika ada dalam hasil JSON
last_seen	Menampilkan jika ada dalam hasil JSON
agent_local_time	Menampilkan jika ada dalam hasil JSON
first_seen	Menampilkan jika ada dalam hasil JSON
service_pack_major	Menampilkan jika ada dalam hasil JSON
slow_changing_modified_timestamp	Menampilkan jika ada dalam hasil JSON
service_pack_minor	Menampilkan jika ada dalam hasil JSON
system_product_name	Menampilkan jika ada dalam hasil JSON
product_type_desc	Menampilkan jika ada dalam hasil JSON
build_number	Menampilkan jika ada dalam hasil JSON
cid	Menampilkan jika ada dalam hasil JSON
local_ip	Menampilkan jika ada dalam hasil JSON
external_ip	Menampilkan jika ada dalam hasil JSON
hostname	Menampilkan jika ada dalam hasil JSON
config_id_build	Menampilkan jika ada dalam hasil JSON
minor_version	Menampilkan jika ada dalam hasil JSON
platform_id	Menampilkan jika ada dalam hasil JSON
os_version	Menampilkan jika ada dalam hasil JSON
config_id_base	Menampilkan jika ada dalam hasil JSON
provision_status	Menampilkan jika ada dalam hasil JSON
mac_address	Menampilkan jika ada dalam hasil JSON
bios_version	Menampilkan jika ada dalam hasil JSON
platform_name	Menampilkan jika ada dalam hasil JSON
agent_load_flags	Menampilkan jika ada dalam hasil JSON
device_id	Menampilkan jika ada dalam hasil JSON
product_type	Menampilkan jika ada dalam hasil JSON
agent_version	Menampilkan jika ada dalam hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Lift Contained Endpoint:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }

Pesan output

Tindakan Lift Contained Endpoint memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID	Pesan asinkron.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID	Tindakan gagal. Periksa status endpoint dan nilai parameter Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Lift Contained Endpoint:

Nama hasil skrip	Nilai
is_success	True atau False

Mencantumkan Kerentanan Host

Gunakan tindakan List Host Vulnerabilities untuk mencantumkan kerentanan yang ditemukan di host di CrowdStrike Falcon.

Tindakan ini memerlukan lisensi dan izin Falcon Spotlight.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tandakan List Host Vulnerabilities memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Severity Filter	Opsional Tentukan daftar tingkat keparahan kerentanan yang dipisahkan koma. Jika tidak ada yang diberikan, tindakan ini akan menyerap semua kerentanan terkait. Nilai yang mungkin: Critical, High, Medium, Low, Unknown.
Create Insight	Opsional Jika dipilih, tindakan ini akan membuat insight per entity yang berisi informasi statistik tentang kerentanan terkait. Dipilih secara default.
Max Vulnerabilities To Return	Opsional Tentukan jumlah kerentanan yang akan ditampilkan per host. Jika tidak ada yang diberikan, tindakan akan memproses semua kerentanan terkait. Nilai defaultnya adalah 100.

Output tindakan

Tindakan List Host Vulnerabilities memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Case Wall, tindakan List Host Vulnerabilities menyediakan tabel berikut:

Jenis: Entity

Kolom:

• Nama
• Skor
• Keparahan
• Status
• Aplikasi
• Memiliki Perbaikan

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Host Vulnerabilities:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}

Pesan output

Tindakan List Host Vulnerabilities memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found for the following hosts: ENTITIES	Tindakan berhasil.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Tindakan gagal. Periksa nilai parameter Severity Filter.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Host Vulnerabilities:

Nama hasil skrip	Nilai
is_success	True atau False

Membuat Daftar Host

Gunakan tindakan List Hosts untuk mencantumkan host yang tersedia di CrowdStrike Falcon.

Tindakan ini berjalan di semua entity.

Input tindakan

Tindakan List Hosts memerlukan parameter berikut:

Parameter
Filter Logic	Opsional Logika yang akan digunakan saat menelusuri host. Nilai defaultnya adalah Equals. Nilai yang memungkinkan adalah sebagai berikut: Equals Contains
Filter Value	Opsional Nilai yang akan digunakan untuk pemfilteran host.
Max Hosts To Return	Opsional Jumlah host yang akan ditampilkan. Nilai defaultnya adalah 50. Nilai maksimumnya adalah 1000.

Output tindakan

Tindakan List Hosts memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Hosts:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]

Pesan output

Tindakan List Hosts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved available hosts based on the provided criteria. No hosts were found for the provided criteria.	Tindakan berhasil.
Error executing action "List Hosts". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Hosts:

Nama hasil skrip	Nilai
is_success	True atau False

Mencantumkan IOC yang Diupload

Gunakan tindakan List Uploaded IOCs untuk mencantumkan IOC kustom yang tersedia di CrowdStrike Falcon.

Tindakan ini berjalan di semua entity.

Input tindakan

Tindakan List Uploaded IOCs memerlukan parameter berikut:

Parameter
IOC Type Filter	Opsional Daftar jenis IOC yang dipisahkan koma yang akan ditampilkan. Nilai defaultnya adalah ipv4,ipv6,md5,sha1,sha256,domain. Nilai yang memungkinkan adalah sebagai berikut: ipv4 ipv6 md5 sha1 sha256 domain
Value Filter Logic	Opsional Nilai logika filter. Nilai defaultnya adalah Equal. Nilai yang memungkinkan adalah sebagai berikut: Equal Contains Jika Equal ditetapkan, tindakan akan mencoba menemukan pencocokan persis di antara IOC. Jika Contains ditetapkan, tindakan akan mencoba menemukan IOC yang berisi substring yang dipilih.
Value Filter String	Opsional String untuk ditelusuri di antara IOC.
Max IOCs To Return	Opsional Jumlah IOC yang akan ditampilkan. Nilai defaultnya adalah 50. Nilai maksimumnya adalah 500.

Output tindakan

Tindakan List Uploaded IOCs memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Case Wall, tindakan List Uploaded IOCs menyediakan tabel berikut:

Kolom:

• Tindakan
• Keparahan
• Ditandatangani
• Hit AV
• Platform
• Tag
• Dibuat Pada
• Dibuat Oleh

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Uploaded IOCs:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "[e-mail]",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "[e-mail]"
        }

Pesan output

Tindakan List Uploaded IOCs memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.	Tindakan gagal. Periksa ejaan dan nilai parameter IOC Type Filter.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Uploaded IOCs:

Nama hasil skrip	Nilai
is_success	True atau False

Pemindaian On-Demand

Gunakan tindakan On-Demand Scan untuk memindai endpoint sesuai permintaan di CrowdStrike.

Tindakan ini hanya berjalan di host Windows dan entity berikut:

• Alamat IP
• Hostname

Tindakan On-Demand Scan berjalan secara asinkron. Sesuaikan nilai waktu tunggu skrip di Google SecOps IDE, jika perlu.

Input tindakan

Tindakan On-Demand Scan memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
File Paths To Scan	Wajib Daftar jalur yang dipisahkan koma untuk dipindai. Nilai defaultnya adalah C:\Windows.
File Paths To Exclude From Scan	Opsional Daftar jalur yang dipisahkan koma yang akan dikecualikan dari pemindaian.
Host Group Name	Opsional Daftar nama grup host yang dipisahkan koma untuk memulai pemindaian. Catatan: Proses pemindaian terpisah dibuat untuk setiap grup host.
Scan Description	Opsional Deskripsi untuk pemindaian. Jika tidak ada nilai yang diberikan, tindakan akan menetapkan deskripsi ke Scan initialized by Chronicle SecOps.
CPU Priority	Opsional Jumlah CPU yang akan digunakan untuk host yang mendasarinya selama pemindaian. Nilai yang mungkin: Up to 1% CPU utilization, Up to 25% CPU utilization, Up to 50% CPU utilization, Up to 75% CPU utilization, Up to 100% CPU utilization. Nilai defaultnya adalah Up to 25% CPU utilization.
Sensor Anti-malware Detection Level	Opsional Menentukan tingkat deteksi anti-malware sensor. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive. Nilai defaultnya adalah Moderate.
Sensor Anti-malware Prevention Level	Opsional Tentukan tingkat pencegahan anti-malware sensor. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Nilai defaultnya adalah Moderate.
Cloud Anti-malware Detection Level	Opsional Menentukan tingkat deteksi anti-malware cloud. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive. Nilai defaultnya adalah Moderate.
Cloud Anti-malware Prevention Level	Opsional Tentukan tingkat pencegahan anti-malware cloud. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Nilai defaultnya adalah Moderate.
Quarantine Hosts	Opsional Jika dipilih, host yang mendasarinya akan dikarantina sebagai bagian dari pemindaian. Tidak dipilih secara default.
Create Endpoint Notification	Opsional Jika dipilih, proses pemindaian akan membuat notifikasi endpoint. Dipilih secara default.
Max Scan Duration	Opsional Jumlah jam untuk menjalankan pemindaian. Jika tidak ada nilai yang diberikan, pemindaian akan berjalan terus-menerus. Nilai defaultnya adalah 1.
Hostname	Opsional Daftar nama host yang dipisahkan koma, tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.

Output tindakan

Tindakan On-Demand Scan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan On-Demand Scan:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}

Pesan output

Tindakan On-Demand Scan memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances. None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created. Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS The following host groups were not found in CrowdStrike: HOST_GROUPS None of the provided host groups were found in CrowdStrike. Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS	Tindakan berhasil.
Error executing action "On-Demand Scan". Reason: ERROR_REASON Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Pemindaian on-demand:

Nama hasil skrip	Nilai
is_success	True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke CrowdStrike Falcon.

Tindakan ini berjalan di semua entity.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	True atau False

Jalankan Skrip

Gunakan tindakan Run Script untuk menjalankan skrip PowerShell di endpoint di CrowdStrike.

Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di IDE Google SecOps, jika perlu.

Tindakan ini berjalan pada entity Alamat IP dan Nama host.

Input tindakan

Tindakan Run Script memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang ingin Anda jalankan tindakannya.
Script Name	Opsional Nama file skrip yang perlu dieksekusi. Catatan: Script Name atau Raw Script harus diberikan. Jika keduanya disediakan, Raw Script akan diprioritaskan.
Raw Script	Opsional Payload skrip PowerShell mentah yang perlu dijalankan di endpoint. Catatan: Script Name atau Raw Script harus diberikan. Jika keduanya disediakan, Raw Script akan diprioritaskan.
Hostname	Opsional Daftar nama host yang dipisahkan koma, tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma yang ingin Anda gunakan untuk menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Queue Offline	Opsional Jika dipilih, perintah yang menargetkan host offline akan diantrekan dan dijalankan setelah host terhubung kembali ke jaringan. Tidak dipilih secara default.

Output tindakan

Tindakan Run Script memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Case Wall, tindakan Run Script memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Script wasn't executed on the provided endpoints in CrowdStrike. Waiting for the scripts to finish execution on the following endpoints: ENTITIES	Tindakan berhasil.
Error executing action "Run Script". Reason: ERROR_REASON Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Jalankan Skrip:

Nama hasil skrip	Nilai
is_success	True atau False

Peristiwa Penelusuran

Gunakan tindakan Search Events untuk menjalankan kueri penelusuran peristiwa asinkron di repositori CrowdStrike Falcon SIEM Generasi Berikutnya (LogScale).

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Telusuri Acara memerlukan parameter berikut:

Parameter
Repository	Wajib Repositori yang akan ditelusuri. Kemungkinan nilainya adalah sebagai berikut: All Falcon Third Party IT Automation Forensics Nilai defaultnya adalah All.
Query	Wajib Kueri yang akan dijalankan di CrowdStrike. Catatan: Jangan berikan head sebagai bagian dari kueri.
Time Frame	Opsional Jangka waktu untuk hasil. Jika Custom dipilih, Anda juga harus memberikan Start Time. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Nilai defaultnya adalah Last Hour.
Start Time	Opsional Waktu mulai untuk hasil dalam format ISO 8601. Jika Custom ditetapkan di Time Frame, parameter ini wajib diisi.
End Time	Opsional Waktu berakhir untuk hasil dalam format ISO 8601. Jika tidak ada nilai yang diberikan dan Custom ditetapkan di Time Frame, tindakan akan menggunakan waktu saat ini sebagai waktu berakhir.
Max Results To Return	Opsional Jumlah hasil maksimum yang akan ditampilkan untuk kueri. Nilai maksimumnya adalah 1000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Search Events memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Case Wall, tindakan Search Events memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query "{query}" in CrowdStrike. No results were found for the query "{query}" in CrowdStrike Waiting for the search job to finish...	Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook.
Error executing action "Search Events". Reason: {0}''.format(error.Stacktrace) Error executing action "Search Events". Reason: {0}''.format(message) Error executing action "Search Events". Reason: query Job {query id} has expired. Please decrease the async polling interval.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Search Events:

Nama hasil skrip	Nilai
is_success	True atau False

Mengirim File

Gunakan tindakan Submit File untuk mengirimkan file ke sandbox di CrowdStrike.

Tindakan ini memerlukan lisensi Falcon Sandbox.

Tindakan ini tidak berjalan di entity Google SecOps.

Format file dan arsip yang didukung

Menurut portal CrowdStrike, sandbox mendukung format file berikut:

Format file yang didukung
.exe, .scr, .pif, .dll, .com, .cpl	Portable Executable
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub	Dokumen Office
.pdf	PDF
.apk	APK
.jar	JAR yang dapat dieksekusi
.sct	Komponen skrip Windows
.lnk	Pintasan Windows
.chm	Bantuan Windows
.hta	Aplikasi HTML
.wsf	File skrip Windows
.js	JavaScript
.vbs, .vbe	Visual Basic (VB)
.swf	Shockwave Flash
.pl	Perl
.ps1, .psd1, .psm1	Powershell
.svg	Grafik vektor skalabel
.py	Python
.elf	File ELF Linux yang dapat dieksekusi
.eml	File email: MIME RFC 822
.msg	Mengirim file melalui email: Outlook

Menurut portal CrowdStrike, sandbox mendukung format arsip berikut:

• .zip
• .7z

Input tindakan

Tindakan Kirim File memerlukan parameter berikut:

Parameter
File Paths	Wajib Daftar jalur absolut ke file yang dikirimkan. Formatnya bergantung pada deployment Anda: Deployment SaaS - Jalur bersifat internal ke platform yang dihosting. Deployment Jarak Jauh - Jalur harus berupa jalur file yang absolut dan valid di komputer lokal tempat Agen Jarak Jauh diinstal (seperti, C:\temp\download untuk Windows atau /var/tmp/download/ untuk Linux). Untuk mengetahui daftar format file yang didukung, lihat Format file dan arsip yang didukung.
Sandbox Environment	Opsional Lingkungan sandbox untuk dianalisis. Nilai defaultnya adalah Windows 10, 64-bit. Kemungkinan nilainya adalah sebagai berikut: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opsional Lingkungan jaringan yang akan dianalisis. Nilai defaultnya adalah Default. Kemungkinan nilainya adalah sebagai berikut: Default TOR Offline Simulated
Archive Password	Opsional Sandi yang akan digunakan saat menggunakan file arsip.
Document Password	Opsional Sandi yang akan digunakan saat menggunakan file Adobe atau Office. Panjang sandi maksimum adalah 32 karakter.
Check Duplicate	Opsional Jika dipilih, tindakan akan memeriksa apakah file sudah dikirimkan sebelumnya dan menampilkan laporan yang tersedia. Selama validasi, tindakan tidak mempertimbangkan parameter Network Environment dan Sandbox Environment . Dipilih secara default.
Comment	Opsional Komentar yang akan dikirimkan.
Confidential Submission	Opsional Jika dipilih, file hanya akan ditampilkan kepada pengguna dalam akun pelanggan Anda. Tidak dipilih secara default.

Output tindakan

Tindakan Submit File memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Case Wall, tindakan Submit File menyediakan tabel berikut:

Kolom:

• Hasil
• Nama
• Skor Ancaman
• Putusan
• Tag

Pesan output

Tindakan Submit File memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned details about the following files using CrowdStrike: PATHS Action wasn't able to return details about the following files using CrowdStrike: PATHS	Tindakan berhasil.
Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files. None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files. None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.	Tindakan menampilkan error. Periksa format file yang didukung untuk tindakan ini.
Waiting for results for the following files: PATHS	Pesan asinkron.
Error executing action "Submit File". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Tindakan gagal. Tingkatkan waktu tunggu di IDE.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Kirim File:

Nama hasil skrip	Nilai
is_success	True atau False

Kirim URL

Gunakan tindakan Kirim URL untuk mengirimkan URL ke sandbox di CrowdStrike.

Tindakan ini memerlukan lisensi Falcon Sandbox. Untuk memeriksa format file yang didukung sandbox, lihat bagian Format file dan arsip yang didukung dalam dokumen ini.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Kirim URL memerlukan parameter berikut:

Parameter
URLs	Wajib URL yang akan dikirimkan.
Sandbox Environment	Opsional Lingkungan sandbox untuk dianalisis. Nilai defaultnya adalah Windows 10, 64-bit. Kemungkinan nilainya adalah sebagai berikut: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opsional Lingkungan jaringan yang akan dianalisis. Nilai defaultnya adalah Default. Kemungkinan nilainya adalah sebagai berikut: Default TOR Offline Simulated
Check Duplicate	Opsional Jika dipilih, tindakan akan memeriksa apakah URL sudah dikirimkan sebelumnya dan menampilkan laporan yang tersedia. Selama validasi, tindakan tidak mempertimbangkan parameter Network Environment dan Sandbox Environment. Dipilih secara default.

Output tindakan

Tindakan Submit URL memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Submit URL memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned details about the following URLs using CrowdStrike: PATHS Action wasn't able to return details about the following URLs using CrowdStrike: PATHS	Tindakan berhasil.
Waiting for results for the following URLs: PATHS	Pesan asinkron.
Error executing action "Submit URL". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Tindakan gagal. Tingkatkan waktu tunggu di IDE.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Kirim URL:

Nama hasil skrip	Nilai
is_success	True atau False

Perbarui Notifikasi

Gunakan tindakan Update Alert untuk memperbarui pemberitahuan di CrowdStrike Falcon.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update Alert memerlukan parameter berikut:

Parameter
Alert ID	Wajib ID pemberitahuan yang akan diperbarui.
Status	Opsional Status pemberitahuan. Kemungkinan nilainya adalah sebagai berikut: Closed In Progress New Reopened
Verdict	Opsional Keputusan untuk pemberitahuan. Kemungkinan nilainya adalah sebagai berikut: True Positive False Positive
Assign To	Opsional Nama analis yang akan diberi tugas untuk menangani pemberitahuan. Jika Anda memberikan Unassign sebagai nilai parameter, tindakan ini akan menghapus penetapan dari pemberitahuan. API menerima nilai apa pun meskipun pengguna yang diberikan tidak ada dalam sistem.

Output tindakan

Tindakan Update Alert memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update Alert:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Tindakan Update Alert memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated alert with ID ALERT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Update Alert". Reason: ERROR_REASON Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling. Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update Alert:

Nama hasil skrip	Nilai
is_success	True atau False

Deteksi Update - Tidak Digunakan Lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Update Detection untuk memperbarui deteksi di CrowdStrike Falcon.

Tindakan ini berjalan di semua entity.

Input tindakan

Tindakan Update Detection memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi yang akan diperbarui.
Status	Wajib. Status deteksi. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Select One new in_progress true_positive false_positive ignored closed
Assign Detection to	Opsional. Alamat email pengguna CrowdStrike Falcon yang merupakan penerima tugas deteksi.

Output tindakan

Tindakan Update Detection memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Update Detection memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated detection DETECTION_ID in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "Update Detection". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.	Tindakan gagal. Periksa nilai parameter Status dan Assign Detection To.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update Detection:

Nama hasil skrip	Nilai
is_success	true atau false

Memperbarui Deteksi Perlindungan Identitas

Gunakan Update Identity Protection Detection untuk memperbarui deteksi perlindungan identitas di CrowdStrike.

Tindakan ini memerlukan lisensi Identity Protection.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update Identity Protection Detection memerlukan parameter berikut:

Parameter
Detection ID	Wajib ID deteksi yang akan diperbarui.
Status	Opsional Status deteksi. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Closed Ignored In Progress New Reopened Select One
Assign to	Opsional Nama analis yang ditugaskan. Jika Unassign diberikan, tindakan akan menghapus penerima tugas dari deteksi. Jika nilai yang diberikan tidak valid, tindakan tidak akan mengubah penerima tugas saat ini.

Output tindakan

Tindakan Update Identity Protection Detection memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update Identity Protection Detection:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Di Case Wall, tindakan Update Identity Protection Detection memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike.	Tindakan berhasil.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.	Tindakan gagal. Periksa nilai parameter Status dan Assign to.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update Identity Protection Detection:

Nama hasil skrip	Nilai
is_success	True atau False

Update Incident - Deprecated

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Update Incident untuk memperbarui insiden di CrowdStrike.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update Incident memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib. ID insiden yang akan diperbarui.
Status	Opsional. Status insiden. Kemungkinan nilainya adalah sebagai berikut: Closed In Progress New Reopened
Assign to	Opsional. Nama atau alamat email analis yang ditugaskan. Jika Unassign diberikan, tindakan akan menghapus penerima tugas dari insiden. Untuk menentukan nama, berikan nama depan dan nama belakang analis dalam format berikut: "FIRST_NAME LAST_NAME"

Output tindakan

Tindakan Update Incident memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update Incident:

 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }

Pesan output

Tindakan Update Incident memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated incident with ID INCIDENT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Update Incident". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi, parameter input, atau kredensial.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update Incident:

Nama hasil skrip	Nilai
is_success	True atau False

Memperbarui Informasi IOC

Gunakan tindakan Update IOC Information untuk memperbarui informasi tentang IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entitas Hostname sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Update IOC Information berjalan pada entity berikut:

• Hostname
• URL
• Alamat IP
• Hash

Input tindakan

Tindakan Update IOC Information memerlukan parameter berikut:

Parameter
Description	Opsional Deskripsi baru untuk IOC kustom.
Source	Opsional Sumber untuk IOC kustom.
Expiration days	Opsional Jumlah hari yang tersisa hingga masa berlaku habis. Parameter ini hanya memengaruhi entity URL, Alamat IP, dan Hostname.
Detect policy	Opsional Jika dipilih, tindakan akan mengirimkan notifikasi untuk IOC yang diidentifikasi. Jika tidak dipilih, tindakan tidak akan mengirimkan notifikasi. Dipilih secara default.

Output tindakan

Tindakan Update IOC Information memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update IOC Information:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "[e-mail]",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}

Pesan output

Di Case Wall, tindakan Update IOC Information memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Update IOC Information". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update IOC Information:

Nama hasil skrip	Nilai
is_success	True atau False

Mengupload IOC

Gunakan tindakan Upload IOCs untuk menambahkan IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entitas Hostname sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Upload IOC berjalan pada entity berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

Tindakan Upload IOC memerlukan parameter berikut:

Parameter
Platform	Wajib Comma separated list berisi platform yang terkait dengan IOC. Nilai defaultnya adalah Windows,Linux,Mac. Kemungkinan nilainya adalah sebagai berikut: Windows Linux Mac
Severity	Wajib Tingkat keparahan IOC. Nilai defaultnya adalah Medium. Kemungkinan nilainya adalah sebagai berikut: Informational Low Medium High Critical
Comment	Opsional Komentar yang berisi lebih banyak konteks terkait IOC.
Host Group Name	Wajib Nama grup host.
Action	Opsional Tindakan untuk IOC yang diupload. Nilai defaultnya adalah Detect. Nilai yang memungkinkan adalah sebagai berikut: Block Detect Nilai Block hanya berlaku untuk hash MD5. Tindakan ini selalu menerapkan kebijakan Detect ke semua jenis IOC lainnya.
Days To Expire	Opsional Jumlah hari sebelum masa berlaku IOC berakhir.

Output tindakan

Tindakan Upload IOC memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Upload IOC memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Upload IOCs". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.	Tindakan gagal. Periksa nilai parameter Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.	Tindakan gagal. Periksa nilai parameter Platform.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Upload IOC:

Nama hasil skrip	Nilai
is_success	True atau False

Konektor

Pastikan Anda telah mengonfigurasi izin minimal untuk setiap konektor CrowdStrike. Untuk mengetahui detail selengkapnya, lihat bagian Izin konektor dalam dokumen ini.

Untuk mengetahui petunjuk cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Peristiwa CrowdStrike

Peristiwa adalah informasi yang dikumpulkan oleh sensor Falcon di host Anda. Ada empat jenis peristiwa di CrowdStrike:

Jenis peristiwa CrowdStrike
Peristiwa audit aktivitas autentikasi	Peristiwa yang dihasilkan setiap kali otorisasi diminta, diizinkan, atau diselesaikan di endpoint.
Peristiwa ringkasan deteksi	Peristiwa yang dihasilkan saat ancaman terdeteksi di endpoint.
Peristiwa akhir sesi respons jarak jauh	Peristiwa yang dihasilkan dari sesi jarak jauh di endpoint.
Peristiwa audit aktivitas pengguna	Peristiwa yang dihasilkan untuk memantau aktivitas yang dilakukan oleh pengguna aktif di endpoint.

Konektor menyerap peristiwa ke Google SecOps untuk membuat pemberitahuan dan memperkaya kasus dengan data peristiwa. Anda dapat memilih peristiwa yang akan diserap ke Google SecOps: semua jenis peristiwa atau peristiwa yang dipilih.

Tidak digunakan lagi: Konektor Deteksi CrowdStrike

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Sebagai gantinya, gunakan CrowdStrike - Alerts Connector.

Gunakan CrowdStrike Detections Connector untuk mengambil deteksi dari CrowdStrike.

Daftar dinamis berfungsi dengan filter yang didukung oleh CrowdStrike API.

Cara menggunakan daftar dinamis

Saat menggunakan daftar dinamis, patuhi rekomendasi berikut:

• Gunakan bahasa FQL CrowdStrike untuk mengubah filter yang dikirim oleh konektor.
• Berikan entri terpisah dalam daftar dinamis untuk setiap filter.
• Untuk menyerap semua deteksi yang ditetapkan ke analis tertentu, pastikan analis memberikan entri daftar dinamis berikut:

  assigned_to_name:'ANALYST_USER_NAME'

Daftar dinamis mendukung parameter berikut:

Parameter yang didukung	Deskripsi
q	Penelusuran teks lengkap di semua kolom metadata.
date_updated	Tanggal update deteksi terbaru.
assigned_to_name	Nama pengguna yang dapat dibaca manusia dari penerima tugas deteksi.
max_confidence	Jika deteksi memiliki lebih dari satu perilaku terkait dengan tingkat keyakinan yang bervariasi, kolom ini akan mencatat nilai keyakinan tertinggi dari semua perilaku. Nilai parameter dapat berupa bilangan bulat dari 1 hingga 100.
detection_id	ID deteksi yang dapat digunakan bersama dengan API lain, seperti Detection Details API atau Resolve Detection API.
max_severity	Jika deteksi memiliki lebih dari satu perilaku terkait dengan tingkat keparahan yang bervariasi, kolom ini akan mencatat nilai keparahan tertinggi dari semua perilaku. Nilai parameter dapat berupa bilangan bulat dari 1 hingga 100.
max_severity_displayname	Nama yang digunakan di UI untuk menentukan tingkat keparahan deteksi. Kemungkinan nilainya adalah sebagai berikut: Critical High Medium Low
seconds_to_triaged	Waktu yang diperlukan agar deteksi mengubah statusnya dari new menjadi in_progress.
seconds_to_resolved	Waktu yang diperlukan deteksi untuk mengubah statusnya dari new ke salah satu status terselesaikan (true_positive, false_positive, ignored, dan closed).
status	Status deteksi saat ini. Kemungkinan nilainya adalah sebagai berikut: new in_progress true_positive false_positive ignored
adversary_ids	Musuh yang dilacak oleh CrowdStrike Falcon Intelligence memiliki ID yang terkait dengan perilaku atau indikator yang diatribusikan dalam deteksi. ID ini terletak di metadata deteksi yang dapat diakses melalui Detection Details API.
cid	ID pelanggan (CID) organisasi Anda.

Input konektor

CrowdStrike Detections Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah behaviors_technique.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. Client ID akun CrowdStrike.
Client Secret	Wajib. Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional. Skor tingkat keparahan terendah dari deteksi yang akan diambil (maks. 100). Nilai defaultnya adalah 50.
Lowest Confidence Score To Fetch	Opsional. Skor keyakinan terendah dari deteksi yang akan diambil (maks. 100). Nilai defaultnya adalah 0.
Max Hours Backwards	Opsional. Jumlah jam untuk mengambil deteksi. Nilai defaultnya adalah 1.
Max Detections To Fetch	Opsional. Jumlah deteksi yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme tambahan.
Verify SSL	Wajib. Jika dipilih, integrasi akan memverifikasi sertifikat SSL.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.
Case Name Template	Opsional. Format placeholder: [FIELD_NAME ].
Alert Name Template	Opsional. Format placeholder: [FIELD_NAME ].
Padding Period	Opsional. Jumlah jam yang digunakan untuk padding (maksimal 6).
Include Hidden Alerts	Opsional. Jika diaktifkan, mengambil pemberitahuan yang diberi label sebagai "tersembunyi".
Fallback Severity	Opsional. Diterapkan jika tingkat keparahan tidak ada. Default: Informasional.
Customer ID	Opsional. ID pelanggan untuk lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor mendukung proxy.

Peristiwa konektor

Contoh peristiwa konektor adalah sebagai berikut:

{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}
    

Konektor Peristiwa Streaming CrowdStrike Falcon

CrowdStrike Falcon Streaming Events Connector menangani kasus penggunaan berikut:

1. Penyerapan data peristiwa deteksi.

   CrowdStrike Falcon mendeteksi upaya untuk mengeksekusi file SophosCleanM.exe berbahaya di endpoint. CrowdStrike menghentikan operasi dan membuat pemberitahuan yang berisi hash file dalam data peristiwa.

   Seorang analis yang tertarik dengan reputasi file menjalankan hash yang ditemukan di VirusTotal dan mengetahui bahwa hash tersebut berbahaya. Sebagai langkah berikutnya, tindakan Mcafee EDR mengarantina file berbahaya.

2. Penyerapan data peristiwa audit aktivitas pengguna.

   Pengguna CrowdStrike, Dani, memperbarui status deteksi dari new menjadi false-positive. Tindakan pengguna ini membuat peristiwa bernama detection_update.

   Analis melakukan tindak lanjut untuk memahami alasan Dani menandai tindakan tersebut sebagai positif palsu dan memeriksa peristiwa yang diserap yang berisi informasi tentang identitas Dani.

   Sebagai langkah berikutnya, analis menjalankan tindakan Enrich Entities Active Directory untuk mendapatkan detail selengkapnya tentang insiden tersebut dan menyederhanakan pelacakan Dani.

3. Penyerapan data peristiwa audit aktivitas autentikasi.

   Peristiwa menunjukkan bahwa Dani telah membuat akun pengguna baru dan memberikan peran pengguna ke akun tersebut.

   Untuk menyelidiki peristiwa dan memahami alasan pengguna dibuat, analis menggunakan ID pengguna Dani untuk menjalankan tindakan Enrich Entities Active Directory dan mencari tahu peran pengguna Dani untuk mengonfirmasi apakah dia diizinkan untuk menambahkan pengguna baru.

4. Penyerapan data peristiwa akhir respons jarak jauh.

   Peristiwa jarak jauh menunjukkan bahwa Dani memiliki koneksi jarak jauh ke host tertentu dan menjalankan perintah sebagai pengguna root untuk mengakses direktori server web.

   Untuk mendapatkan informasi selengkapnya tentang Dani dan host yang terlibat, analis menjalankan tindakan Active Directory untuk memperkaya pengguna dan host. Berdasarkan informasi yang ditampilkan, analis mungkin memutuskan untuk menangguhkan Dani hingga tujuan koneksi jarak jauh diklarifikasi.

Input konektor

CrowdStrike Falcon Streaming Event Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah device_product.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah Name.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib Client ID akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Event types	Opsional Comma separated list berisi jenis peristiwa. Contoh jenis peristiwa adalah sebagai berikut: DetectionSummaryEvent IncidentSummaryEvent AuthActivityAuditEvent UserActivityAuditEvent RemoteResponseSessionStartEvent RemoteResponseSessionEndEvent
Max Days Backwards	Opsional Jumlah hari sebelum hari ini untuk mengambil deteksi. Nilai defaultnya adalah 3.
Max Events Per Cycle	Opsional Jumlah peristiwa yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Min Severity	Opsional Peristiwa yang akan diserap berdasarkan tingkat keparahan peristiwa (peristiwa deteksi). Nilainya berkisar dari 0 hingga 5. Jika jenis peristiwa lain selain deteksi diserap, tingkat keparahannya akan ditetapkan ke -1 dan filter ini tidak berlaku untuk peristiwa tersebut.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Script Timeout (Seconds)	Wajib Batas waktu tunggu untuk proses Python yang menjalankan skrip saat ini. Nilai default-nya adalah 60 detik.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Rule Generator Template	Opsional Jika disediakan, konektor akan menggunakan nilai ini untuk generator aturan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan generator aturan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dijalankan. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Konektor ini tidak mendukung daftar dinamis.

Konektor Deteksi CrowdStrike Identity Protection

Gunakan CrowdStrike Identity Protection Detections Connector untuk mengambil deteksi perlindungan identitas dari CrowdStrike. Daftar dinamis berfungsi dengan parameter display_name.

Konektor ini memerlukan lisensi Identity Protection.

Input konektor

CrowdStrike Identity Protection Detections Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah behaviors_technique.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib Batas waktu tunggu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib Client ID akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional Skor tingkat keparahan terendah dari deteksi yang akan diambil. Jika tidak ada nilai yang diberikan, konektor tidak akan menerapkan filter ini. Nilai maksimumnya adalah 100. Nilai defaultnya adalah 50. Konektor juga mendukung nilai berikut untuk parameter ini: Low Medium High Critical
Lowest Confidence Score To Fetch	Opsional skor keyakinan terendah dari deteksi yang akan diambil. Jika tidak ada nilai yang diberikan, konektor tidak akan menerapkan filter ini. Nilai maksimumnya adalah 100. Nilai defaultnya adalah 0.
Max Hours Backwards	Opsional Jumlah jam sebelum waktu saat ini untuk mengambil deteksi. Nilai defaultnya adalah 1.
Max Detections To Fetch	Opsional Jumlah deteksi yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Case Name Template	Opsional Jika disediakan, konektor akan menambahkan kunci baru bernama custom_case_name ke Peristiwa Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dijalankan. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Contoh peristiwa konektor adalah sebagai berikut:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Tidak digunakan lagi: CrowdStrike Incidents Connector

Tidak digunakan lagi: Konektor ini tidak digunakan lagi. Gunakan CrowdStrike Alerts Connector untuk mengambil data insiden dan perilaku.

Gunakan CrowdStrike Incidents Connector untuk menarik insiden dan perilaku terkait dari CrowdStrike.

Daftar dinamis berfungsi dengan parameter incident_type.

Parameter konektor

CrowdStrike Incidents Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah data_type.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk memanipulasi nilai kolom lingkungan. Gunakan .* default untuk mengambil nilai mentah.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu untuk proses Python. Nilai defaultnya adalah 180.
API Root	Wajib. Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. Client ID akun CrowdStrike.
Client Secret	Wajib. Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional. Skor keparahan insiden terendah yang akan diambil. Mendukung Low, Medium, High, Critical, atau nilai numerik hingga 100.
Max Hours Backwards	Opsional. Periode lihat balik pengambilan dalam jam. Nilai defaultnya adalah 1.
Max Incidents To Fetch	Opsional. Jumlah insiden per iterasi. Maksimumnya adalah 100. Nilai defaultnya adalah 10.
Use dynamic list as a blocklist	Wajib. Jika dipilih, daftar dinamis akan bertindak sebagai daftar yang tidak diizinkan.
Disable Overflow	Opsional. Jika dipilih, mekanisme tambahan akan diabaikan.
Verify SSL	Wajib. Memverifikasi sertifikat SSL untuk koneksi.
Proxy Parameters	Opsional. Termasuk Proxy Server Address, Proxy Username, dan Proxy Password.
Customer ID	Opsional. ID Tenant untuk lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Konektor ini mendukung dua jenis peristiwa: berbasis insiden dan berbasis perilaku.

Contoh: Peristiwa berbasis insiden

 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

Contoh: Peristiwa berbasis perilaku

 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike – Alerts Connector

Gunakan CrowdStrike – Alerts Connector untuk mengambil pemberitahuan dari CrowdStrike. Daftar dinamis berfungsi dengan parameter display_name.

Untuk mengambil deteksi perlindungan identitas, gunakan Konektor Deteksi Perlindungan Identitas.

Input konektor

CrowdStrike – Alerts Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah product.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib Batas waktu tunggu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib Client ID akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Case Name Template	Opsional Jika disediakan, konektor akan menambahkan kunci baru bernama custom_case_name ke Peristiwa Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Lowest Severity Score To Fetch	Opsional Skor keparahan terendah dari insiden yang akan diambil. Jika tidak ada nilai yang diberikan, konektor akan menyerap insiden dengan semua tingkat keparahan. Nilai maksimumnya adalah 100. Konektor juga mendukung nilai berikut untuk parameter ini: Rendah Sedang Tinggi Kritis Di UI CrowdStrike, nilai yang sama ditampilkan sebagai dibagi 10.
Max Hours Backwards	Opsional Jumlah jam sebelum waktu saat ini untuk mengambil insiden. Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional Jumlah pemberitahuan yang akan diproses dalam satu iterasi konektor. Nilai maksimumnya adalah 100. Nilai defaultnya adalah 10.
Use dynamic list as a blocklist	Wajib Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan. Tidak dipilih secara default.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dijalankan. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Contoh peristiwa berdasarkan pemberitahuan adalah sebagai berikut:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Crowdstrike Falcon - Menyinkronkan Pemberitahuan

Gunakan tugas Crowdstrike Falcon - Sync Alerts untuk menyinkronkan komentar dan status secara dua arah antara Google SecOps dan Crowdstrike.

Persyaratan pekerjaan

Untuk memastikan tugas mengidentifikasi dan menyinkronkan data yang benar, kondisi berikut harus dipenuhi:

• Kasus Google SecOps harus berisi tag Crowdstrike Alert.

• Jika pemberitahuan tidak berasal dari Alerts Connector atau Identity Protections Detection Connector, Anda harus menambahkan nilai konteks pemberitahuan Alert_ID untuk tugas tersebut guna mengidentifikasi data Crowdstrike yang benar.

Logika operasional

Tugas ini menyinkronkan data dalam dua tahap. Tahap pertama menyinkronkan data Crowdstrike ke pemberitahuan Google SecOps. Tahap kedua menyinkronkan data pemberitahuan Google SecOps ke pemberitahuan Crowdstrike.

Tugas menggunakan Max Hours Backwards untuk iterasi awal. Untuk semua permintaan berikutnya, tugas akan menggunakan start_time dari pemberitahuan terakhir yang diproses.

Logika sinkronisasi komentar

Tugas ini menggunakan last_update_time untuk memfilter komentar dan mencegah entri duplikat. Komentar yang disinkronkan menggunakan struktur berikut:

• Dikirim dari Crowdstrike: Crowdstrike {ticket_id}: {comment}

• Dikirim dari Google SecOps: Google SecOps {case_id}: {comment}

Komentar penutupan kasus Google SecOps juga disinkronkan ke Crowdstrike sebagai komentar.

Pemetaan status dan verdict

Saat pemberitahuan ditutup di Google SecOps, tugas akan memperbarui pemberitahuan Crowdstrike yang sesuai dengan status Closed. Tugas ini juga menerapkan pemetaan berikut untuk keputusan analis:

• Jika Alasan penutupan adalah Malicious, Keputusan Crowdstrike ditetapkan ke True Positive.

• Jika Alasan penutupan adalah Not Malicious, Keputusan Crowdstrike ditetapkan ke False Positive.

• Untuk semua alasan penutupan lainnya, status ditetapkan ke Closed tanpa keputusan.

Parameter tugas

Tugas Crowdstrike Falcon - Sync Alerts memerlukan parameter berikut:

Parameter	Deskripsi
Environment Name	Wajib. Nama lingkungan tempat tugas menelusuri pemberitahuan. Nilai defaultnya adalah Default Environment.
API Root	Wajib. Root API instance Crowdstrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. Client ID akun Crowdstrike.
Client Secret	Wajib. Rahasia klien akun Crowdstrike.
Max Hours Backwards	Wajib. Jumlah jam sebelum waktu saat ini untuk menyinkronkan pemberitahuan selama iterasi tugas pertama. Nilai defaultnya adalah 24.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Crowdstrike. Diaktifkan secara default.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.