Mengintegrasikan CrowdStrike Falcon dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan CrowdStrike Falcon dengan Google Security Operations.

Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap integrasi ini dari bucket Cloud Storage.

Kasus penggunaan

Di platform Google SecOps, integrasi CrowdStrike Falcon memecahkan kasus penggunaan berikut:

• Pembatasan malware otomatis: gunakan kemampuan platform Google SecOps untuk mengarantina endpoint yang terpengaruh secara otomatis, mengambil hash file untuk analisis lebih lanjut, dan mencegah penyebaran malware. Pembatasan malware otomatis diaktifkan saat email phishing memicu pemberitahuan CrowdStrike Falcon untuk download file yang mencurigakan.

• Respons insiden yang dipercepat: gunakan Google SecOps untuk mengumpulkan data kontekstual seperti pohon proses dan koneksi jaringan, mengisolasi host yang terkompromi, dan membuat tiket untuk penyelidikan.

• Perburuan dan investigasi ancaman: gunakan kemampuan platform Google SecOps untuk membuat kueri CrowdStrike Falcon terkait tindakan pengguna tertentu, modifikasi file, dan koneksi jaringan selama periode yang ditentukan. Perburuan dan investigasi ancaman memungkinkan analis keamanan Anda menyelidiki potensi ancaman orang dalam dan menganalisis aktivitas endpoint historis sekaligus menyederhanakan proses investigasi.

• Respons dan pemulihan phishing: menggunakan CrowdStrike Falcon dan platform Google SecOps untuk memindai lampiran email, membukanya di lingkungan sandbox, dan memblokir alamat email pengirim secara otomatis jika aktivitas berbahaya terdeteksi.

• Manajemen kerentanan: gunakan kapabilitas platform Google SecOps untuk otomatis membuat tiket bagi setiap sistem yang rentan, memprioritaskannya berdasarkan tingkat keparahan dan nilai aset, serta memicu alur kerja penerapan patch otomatis. Manajemen kerentanan membantu Anda mengidentifikasi kerentanan kritis di beberapa endpoint.

Sebelum memulai

Sebelum mengonfigurasi integrasi di Google SecOps, selesaikan langkah-langkah berikut:

1. Konfigurasi klien CrowdStrike Falcon API.

2. Konfigurasi izin tindakan.

3. Konfigurasi izin konektor.

Konfigurasi klien CrowdStrike Falcon API

Untuk menentukan klien dan tampilan API CrowdStrike, membuat, atau mengubah klien atau kunci API, Anda harus memiliki peran FalconAdministrator.

Secret hanya ditampilkan saat Anda membuat klien API baru atau mereset klien API.

Untuk mengonfigurasi klien CrowdStrike Falcon API, selesaikan langkah-langkah berikut:

1. Di UI Falcon, buka Support and resources > Resources and tools > API clients and keys. Di halaman ini, Anda dapat menemukan klien yang ada, menambahkan klien API baru, atau melihat log audit.
2. Klik Create API Client.
3. Berikan nama untuk klien API baru Anda.
4. Pilih cakupan API yang sesuai.

5. Klik Create. Nilai Client ID dan Client Secret akan muncul.

   Ini adalah satu-satunya saat Anda melihat nilai rahasia klien. Pastikan untuk menyimpannya dengan aman. Jika Anda kehilangan rahasia klien, reset klien API Anda dan perbarui semua aplikasi yang mengandalkan rahasia klien dengan kredensial baru.

Untuk mengetahui detail selengkapnya terkait akses ke CrowdStrike API, lihat panduan Mendapatkan Akses ke CrowdStrike API di blog CrowdStrike.

Mengonfigurasi izin tindakan

Lihat izin minimum untuk tindakan, seperti yang tercantum dalam tabel berikut:

Tindakan	Izin yang diperlukan
Menambahkan Komentar ke Deteksi	Detections.Read Detection.Write
Menambahkan Komentar Deteksi Perlindungan Identitas	Alerts.Read Alerts.Write
Tambahkan Komentar Insiden	Incidents.Write
Tutup Deteksi	Detections.Read Detection.Write
Endpoint Berisi	Hosts.Read Hosts.Write
Menghapus IOC	IOC Management.Read IOC Management.Write
Download File	Hosts.Read Real time response.Read Real time response.Write
Jalankan Perintah	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write* untuk perintah hak istimewa penuh.
Mendapatkan Offset Acara	Event streams.Read
Mendapatkan Host menurut IOC	Tidak tersedia: Tidak digunakan lagi
Mendapatkan Informasi Host	Hosts.Read
Mendapatkan Nama Proses Berdasarkan IOC	Tidak tersedia: Tidak digunakan lagi
Endpoint yang Berisi Peningkatan	Hosts.Read Hosts.Write
Mencantumkan Host	Hosts.Read
Mencantumkan Kerentanan Host	Hosts.Read Spotlight vulnerabilities.Read
Mencantumkan IOC yang Diupload	IOC Management.Read
Pemindaian Sesuai Permintaan	On-demand scans (ODS).Read On-demand scans (ODS).Write
Ping	Hosts.Read
Kirim File	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Kirimkan URL	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Memperbarui Deteksi	Detections.Read Detection.Write User management.Read
Memperbarui Deteksi Perlindungan Identitas	Alerts.Read Alerts.Write
Perbarui Insiden	Incidents.Write
Memperbarui Informasi IOC	IOC Management.Read IOC Management.Write
Mengupload IOC	IOC Management.Read IOC Management.Write

Mengonfigurasi izin konektor

Lihat izin minimum untuk konektor, seperti yang tercantum dalam tabel berikut:

Konektor	Izin yang diperlukan
Konektor Deteksi CrowdStrike	Detection.Read
Konektor Peristiwa Streaming CrowdStrike Falcon	Event streams.Read
Konektor Deteksi CrowdStrike Identity Protection	Alerts.Read
Konektor Insiden CrowdStrike	Incidents.Read

Endpoint

Integrasi CrowdStrike Falcon berinteraksi dengan endpoint CrowdStrike Falcon API berikut:

Endpoint API umum:

• /oauth2/token

Host dan perangkat:

• /devices/entities/devices/v1
• /devices/entities/devices-actions/v2

Deteksi dan peristiwa:

• /detections/entities/detections/v2
• /detections/entities/summaries/GET/v1
• /protection/entities/detections/v1

Indikator penyusupan (IOC):

• /intel/entities/indicators/v1
• /intel/queries/devices/v1

Kerentanan:

• /devices/combined/devices/vulnerabilities/v1

Respons dan pembatasan:

• /respond/entities/command-queues/v1
• /respond/entities/extracted-files/v1

Insiden:

• /incidents/entities/incidents/GET/v1
• /incidents/entities/incidents/comments/GET/v1
• /incidents/entities/incidents/GET/v1

Analisis file dan URL:

• /malware-uploads/entities/submissions/v2
• /url/entities/scans/v1

Parameter integrasi

Agar integrasi berfungsi dengan baik, diperlukan CrowdStrike Falcon versi premium dengan kemampuan penuh. Tindakan tertentu tidak berfungsi dengan CrowdStrike Falcon versi dasar.

Integrasi CrowdStrike Falcon memerlukan parameter berikut:

Parameter
API Root	Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com
Client API ID	Wajib Client ID untuk CrowdStrike API.
Client API Secret	Wajib Rahasia klien untuk CrowdStrike API.
Verify SSL	Jika dipilih, integrasi akan memverifikasi apakah sertifikat SSL untuk terhubung ke server CrowdStrike Falcon valid. Tidak dipilih secara default.
Customer ID	Opsional ID pelanggan tenant tempat integrasi akan dijalankan. Untuk digunakan di lingkungan multi-tenant (MSSP).

Untuk mendapatkan petunjuk mendetail tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap berikutnya jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Sebelum melanjutkan konfigurasi integrasi, konfigurasi izin minimal yang diperlukan untuk setiap item integrasi. Untuk mengetahui detail selengkapnya, lihat bagian Izin tindakan dalam dokumen ini.

Tambahkan Komentar Pemberitahuan

Gunakan tindakan Tambahkan Komentar Notifikasi untuk menambahkan komentar ke notifikasi di CrowdStrike Falcon.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Add Alert Comment memerlukan parameter berikut:

Parameter
Alert	Wajib ID pemberitahuan yang akan diperbarui.
Comment	Wajib Komentar yang akan ditambahkan ke notifikasi.

Output tindakan

Tindakan Tambahkan Komentar Pemberitahuan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Tambahkan Komentar Notifikasi memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Alert Comment". Reason: ERROR_REASON Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Komentar Pemberitahuan:

Nama hasil skrip	Nilai
is_success	True atau False

Menambahkan Komentar ke Deteksi - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Sebagai gantinya, gunakan tindakan Tambahkan Komentar Peringatan.

Gunakan tindakan Tambahkan Komentar ke Deteksi untuk menambahkan komentar ke deteksi di CrowdStrike Falcon.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tindakan Tambahkan Komentar ke Deteksi memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi untuk menambahkan komentar.
Comment	Wajib. Komentar yang akan ditambahkan ke deteksi.

Output tindakan

Tindakan Tambahkan Komentar ke Deteksi memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Komentar ke Deteksi:

Nama hasil skrip	Nilai
is_success	true atau false

Menambahkan Komentar Deteksi Perlindungan Identitas

Gunakan tindakan Tambahkan Komentar Deteksi Perlindungan Identitas untuk menambahkan komentar ke deteksi perlindungan identitas di CrowdStrike.

Tindakan ini memerlukan lisensi Identity Protection.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Tambahkan Komentar Deteksi Perlindungan Identitas memerlukan parameter berikut:

Parameter
Detection ID	Wajib ID deteksi yang akan diperbarui.
Comment	Wajib Komentar yang akan ditambahkan ke deteksi.

Output tindakan

Tindakan Tambahkan Komentar Deteksi Perlindungan Identitas memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Add Identity Protection Detection Comment memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Komentar Deteksi Perlindungan Identitas:

Nama hasil skrip	Nilai
is_success	True atau False

Tambahkan Komentar Insiden - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Tambahkan Komentar Insiden untuk menambahkan komentar ke insiden di CrowdStrike.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Tambahkan Komentar Insiden memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib. ID insiden yang akan diperbarui.
Comment	Wajib. Komentar yang akan ditambahkan ke insiden.

Output tindakan

Tindakan Add Incident Comment memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Tambahkan Komentar Insiden memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added comment to the incident INCIDENT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Add Incident Comment". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Komentar Insiden:

Nama hasil skrip	Nilai
is_success	True atau False

Deteksi Tutup - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Perbarui Pemberitahuan sebagai gantinya.

Gunakan tindakan Close Detection untuk menutup deteksi CrowdStrike Falcon.

Catatan: Tindakan Perbarui Pemberitahuan adalah praktik terbaik untuk kasus penggunaan ini dan harus digunakan sebagai pengganti tindakan ini dengan memberikan status yang sesuai.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tindakan Deteksi Penutupan memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi yang akan ditutup.
Hide Detection	Opsional. Jika dipilih, tindakan ini akan menyembunyikan deteksi di UI. Dipilih secara default.

Output tindakan

Tindakan Deteksi Penutupan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Deteksi Penutupan:

Nama hasil skrip	Nilai
is_success	True atau False

Endpoint Berisi

Gunakan tindakan Contain Endpoint untuk mengisolasi endpoint di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Contain Endpoint memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Fail If Timeout	Opsional Jika dipilih dan tidak semua endpoint disertakan, tindakan akan gagal. Dipilih secara default.

Output tindakan

Tindakan Contain Endpoint memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entitas

Tindakan Contain Endpoint mendukung logika pengayaan entitas berikut:

Kolom pengayaan	Logika
status	Menampilkan apakah ada di hasil JSON
modified_timestamp	Menampilkan apakah ada di hasil JSON
major_version	Menampilkan apakah ada di hasil JSON
policies	Menampilkan apakah ada di hasil JSON
config_id_platform	Menampilkan apakah ada di hasil JSON
bios_manufacturer	Menampilkan apakah ada di hasil JSON
system_manufacturer	Menampilkan apakah ada di hasil JSON
device_policies	Menampilkan apakah ada di hasil JSON
meta	Menampilkan apakah ada di hasil JSON
pointer_size	Menampilkan apakah ada di hasil JSON
last_seen	Menampilkan apakah ada di hasil JSON
agent_local_time	Menampilkan apakah ada di hasil JSON
first_seen	Menampilkan apakah ada di hasil JSON
service_pack_major	Menampilkan apakah ada di hasil JSON
slow_changing_modified_timestamp	Menampilkan apakah ada di hasil JSON
service_pack_minor	Menampilkan apakah ada di hasil JSON
system_product_name	Menampilkan apakah ada di hasil JSON
product_type_desc	Menampilkan apakah ada di hasil JSON
build_number	Menampilkan apakah ada di hasil JSON
cid	Menampilkan apakah ada di hasil JSON
local_ip	Menampilkan apakah ada di hasil JSON
external_ip	Menampilkan apakah ada di hasil JSON
hostname	Menampilkan apakah ada di hasil JSON
config_id_build	Menampilkan apakah ada di hasil JSON
minor_version	Menampilkan apakah ada di hasil JSON
platform_id	Menampilkan apakah ada di hasil JSON
os_version	Menampilkan apakah ada di hasil JSON
config_id_base	Menampilkan apakah ada di hasil JSON
provision_status	Menampilkan apakah ada di hasil JSON
mac_address	Menampilkan apakah ada di hasil JSON
bios_version	Menampilkan apakah ada di hasil JSON
platform_name	Menampilkan apakah ada di hasil JSON
agent_load_flags	Menampilkan apakah ada di hasil JSON
device_id	Menampilkan apakah ada di hasil JSON
product_type	Menampilkan apakah ada di hasil JSON
agent_version	Menampilkan apakah ada di hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Contain Endpoint:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}

Pesan output

Tindakan Contain Endpoint memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Contain Endpoint". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID	Tindakan gagal. Periksa status endpoint dan nilai parameter Fail If Timeout.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Contain Endpoint:

Nama hasil skrip	Nilai
is_success	True atau False

Menghapus IOC

Gunakan tindakan Hapus IOC untuk menghapus IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entitas nama host sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Hapus IOC berjalan pada entitas berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

Tidak ada.

Output tindakan

Tindakan Hapus IOC memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Hapus IOC:

Nama hasil skrip	Nilai
is_success	True atau False

Pesan output

Di Dinding Kasus, tindakan Hapus IOC memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID All of the provided IOCs were not a part of CrowdStrike Falcon instance.	Tindakan berhasil.
Error executing action "Delete IOC". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Download File

Gunakan tindakan Download File untuk mendownload file dari host di CrowdStrike Falcon.

Tindakan ini mengharuskan Filename dan alamat IP atau entitas Hostname berada dalam cakupan pemberitahuan Google SecOps.

Anda dapat menemukan file yang didownload dalam paket zip yang dilindungi sandi. Untuk mengakses file, berikan sandi berikut: infected.

Tindakan Download File berjalan pada entity berikut:

• Nama file
• Alamat IP
• Host

Input tindakan

Tindakan Download File memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Download Folder Path	Wajib Jalur ke folder yang menyimpan file yang didownload. Formatnya bergantung pada deployment Anda: Deployment SaaS: Jalurnya bersifat internal ke platform yang dihosting. Deployment Jarak Jauh: Jalur harus berupa jalur direktori absolut yang valid di komputer lokal tempat Agen Jarak Jauh diinstal (seperti, C:\temp\download untuk Windows atau /var/tmp/download/ untuk Linux).
Overwrite	Wajib Jika dipilih, tindakan ini akan menimpa file dengan nama yang sama. Tidak dipilih secara default.

Output tindakan

Tindakan Download File memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel entitas	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel entitas

Tindakan Download File menyediakan tabel entity berikut:

Entity
filepath	Jalur absolut ke file.

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Download File:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}

Pesan output

Tindakan Download File memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Download File". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.	Tindakan gagal. Periksa nilai parameter Overwrite atau hapus file.
Waiting for results for the following entities: ENTITY_ID	Pesan asinkron.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Download File:

Nama hasil skrip	Nilai
is_success	True atau False

Jalankan Perintah

Gunakan tindakan Execute Command untuk menjalankan perintah di host di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Execute Command memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Command	Wajib Tentukan perintah yang akan dieksekusi di host.
Admin Command	Opsional Jika dipilih, tindakan akan menjalankan perintah dengan izin administratif. Hal ini diperlukan untuk perintah tertentu seperti put. Tidak dipilih secara default.
Hostname	Opsional Daftar nama host yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Queue Offline	Opsional Jika dipilih, perintah yang menargetkan host offline akan diantrekan dan dieksekusi setelah host terhubung kembali ke jaringan. Tidak dipilih secara default.

Output tindakan

Tindakan Execute Command memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Dinding Kasus, tindakan Jalankan Perintah memberikan output pesan berikut:

Pesan output	Deskripsi pesan
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Execute Command". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Waiting for results for the following entities: ENTITY_ID	Pesan asinkron.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Jalankan Perintah:

Nama hasil skrip	Nilai
is_success	True atau False

Mendapatkan Detail Notifikasi

Gunakan tindakan Get Alert Details untuk mengambil detail notifikasi di CrowdStrike Falcon.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Get Alert Details memerlukan parameter berikut:

Parameter	Deskripsi
Alert ID	Wajib. ID unik pemberitahuan yang detailnya akan diambil.

Output tindakan

Tindakan Get Alert Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Alert Details:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "[e-mail]",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Tindakan Get Alert Details dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.	Tindakan berhasil.
Error executing action "Get Alert Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Alert Details:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Offset Acara

Gunakan tindakan Get Event Offset untuk mengambil offset peristiwa yang digunakan oleh Streaming Events Connector.

Tindakan ini akan mulai memproses peristiwa dari 30 hari yang lalu.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Get Event Offset memerlukan parameter berikut:

Parameter
Max Events To Process	Wajib Jumlah peristiwa yang perlu diproses oleh tindakan, mulai dari 30 hari yang lalu. Nilai defaultnya adalah 10000.

Output tindakan

Tindakan Get Event Offset memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Event Offset:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}

Pesan output

Tindakan Get Event Offset memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved event offset in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "Get Event Offset". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Event Offset:

Nama hasil skrip	Nilai
is_success	True atau False

Mendapatkan Informasi Host

Gunakan tindakan Get Host Information untuk mengambil informasi tentang nama host dari CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Hostname
• Alamat IP

Input tindakan

Tindakan Get Host Information memerlukan parameter berikut:

Parameter
Hostname	Opsional Daftar nama host yang dipisahkan koma untuk disembunyikan di CrowdStrike Falcon. Tindakan ini memproses nilai input yang diberikan dalam parameter ini serta entitas Nama Host dan Alamat IP yang dilampirkan ke kasus.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Customer ID	Opsional ID Pelanggan (CID) CrowdStrike yang unik dan digunakan untuk menargetkan tenant tertentu. Parameter ini diperlukan di Falcon Flight Control atau lingkungan multi-tenant untuk melakukan tindakan pada CID turunan tertentu.

Output tindakan

Tindakan Get Host Information memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entitas

Tindakan Get Host Information mendukung logika pengayaan entitas berikut:

Kolom pengayaan	Logika
modified_timestamp	Menampilkan apakah ada di hasil JSON
major_version	Menampilkan apakah ada di hasil JSON
site_name	Menampilkan apakah ada di hasil JSON
platform_id	Menampilkan apakah ada di hasil JSON
config_id_platform	Menampilkan apakah ada di hasil JSON
system_manufacturer	Menampilkan apakah ada di hasil JSON
meta	Menampilkan apakah ada di hasil JSON
first_seen	Menampilkan apakah ada di hasil JSON
service_pack_minor	Menampilkan apakah ada di hasil JSON
product_type_desc	Menampilkan apakah ada di hasil JSON
build_number	Menampilkan apakah ada di hasil JSON
hostname	Menampilkan apakah ada di hasil JSON
config_id_build	Menampilkan apakah ada di hasil JSON
minor_version	Menampilkan apakah ada di hasil JSON
os_version	Menampilkan apakah ada di hasil JSON
provision_status	Menampilkan apakah ada di hasil JSON
mac_address	Menampilkan apakah ada di hasil JSON
bios_version	Menampilkan apakah ada di hasil JSON
agent_load_flags	Menampilkan apakah ada di hasil JSON
status	Menampilkan apakah ada di hasil JSON
bios_manufacturer	Menampilkan apakah ada di hasil JSON
machine_domain	Menampilkan apakah ada di hasil JSON
agent_local_time	Menampilkan apakah ada di hasil JSON
slow_changing_modified_timestamp	Menampilkan apakah ada di hasil JSON
service_pack_major	Menampilkan apakah ada di hasil JSON
device_id	Menampilkan apakah ada di hasil JSON
system_product_name	Menampilkan apakah ada di hasil JSON
product_type	Menampilkan apakah ada di hasil JSON
local_ip	Menampilkan apakah ada di hasil JSON
external_ip	Menampilkan apakah ada di hasil JSON
cid	Menampilkan apakah ada di hasil JSON
platform_name	Menampilkan apakah ada di hasil JSON
config_id_base	Menampilkan apakah ada di hasil JSON
last_seen	Menampilkan apakah ada di hasil JSON
pointer_size	Menampilkan apakah ada di hasil JSON
agent_version	Menampilkan apakah ada di hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Host Information:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]

Pesan output

Tindakan Get Host Information memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Get Host Information". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Host Information:

Nama hasil skrip	Nilai
is_success	True atau False

Mendapatkan Host menurut IOC - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Mencantumkan host yang terkait dengan IOC di CrowdStrike Falcon. Entitas yang didukung: Nama Host, URL, Alamat IP, dan Hash.
Catatan: Entitas nama host diperlakukan sebagai IOC domain. Tindakan ini mengekstrak bagian domain dari URL. Hanya hash MD5 dan SHA-256 yang didukung.

Entity

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

T/A

Output tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
  

Pengayaan entitas

Kolom pengayaan	Logika
modified_timestamp	Menampilkan apakah ada dalam hasil JSON
major_version	Menampilkan apakah ada dalam hasil JSON
site_name	Menampilkan apakah ada dalam hasil JSON
platform_id	Menampilkan apakah ada dalam hasil JSON
config_id_platform	Menampilkan apakah ada dalam hasil JSON
system_manufacturer	Menampilkan apakah ada dalam hasil JSON
meta	Menampilkan apakah ada dalam hasil JSON
first_seen	Menampilkan apakah ada dalam hasil JSON
service_pack_minor	Menampilkan apakah ada dalam hasil JSON
product_type_desc	Menampilkan apakah ada dalam hasil JSON
build_number	Menampilkan apakah ada dalam hasil JSON
hostname	Menampilkan apakah ada dalam hasil JSON
config_id_build	Menampilkan apakah ada dalam hasil JSON
minor_version	Menampilkan apakah ada dalam hasil JSON
os_version	Menampilkan apakah ada dalam hasil JSON
provision_status	Menampilkan apakah ada dalam hasil JSON
mac_address	Menampilkan apakah ada dalam hasil JSON
bios_version	Menampilkan apakah ada dalam hasil JSON
agent_load_flags	Menampilkan apakah ada dalam hasil JSON
status	Menampilkan apakah ada dalam hasil JSON
bios_manufacturer	Menampilkan apakah ada dalam hasil JSON
machine_domain	Menampilkan apakah ada dalam hasil JSON
Device_policies	Menampilkan apakah ada dalam hasil JSON
agent_local_time	Menampilkan apakah ada dalam hasil JSON
slow_changing_modified_timestamp	Menampilkan apakah ada dalam hasil JSON
service_pack_major	Menampilkan apakah ada dalam hasil JSON
system_product_name	Menampilkan apakah ada dalam hasil JSON
product_type	Menampilkan apakah ada dalam hasil JSON
local_ip	Menampilkan apakah ada dalam hasil JSON
external_ip	Menampilkan apakah ada dalam hasil JSON
cid	Menampilkan apakah ada dalam hasil JSON
platform_name	Menampilkan apakah ada dalam hasil JSON
config_id_base	Menampilkan apakah ada dalam hasil JSON
kebijakan	Menampilkan apakah ada dalam hasil JSON
last_seen	Menampilkan apakah ada dalam hasil JSON
pointer_size	Menampilkan apakah ada dalam hasil JSON
agent_version	Menampilkan apakah ada dalam hasil JSON

Insight entitas

T/A

Repositori kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil dan setidaknya satu host yang terkait dengan IOC yang diberikan ditemukan (is_success=true): "Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon." Jika tidak ada host terkait yang ditemukan (is_success=false): "No hosts were related to the provided IOCs in CrowdStrike Falcon". Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error kritis dilaporkan: "Error saat menjalankan tindakan "{nama tindakan}". Alasan: {traceback}."	Umum

Mendapatkan Nama Proses menurut IOC - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Mengambil proses yang terkait dengan IOC dan perangkat yang disediakan di CrowdStrike Falcon. Entitas yang didukung: Nama Host, URL, Alamat IP, dan Hash.
Catatan: Entitas nama host diperlakukan sebagai IOC domain. Tindakan ini mengekstrak bagian domain dari URL. Hanya hash MD5, SHA-1, dan SHA-256 yang didukung. Entitas Alamat IP diperlakukan sebagai IOC.

Parameter

Nama Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Perangkat	11	T/A	Ya	Tentukan daftar perangkat yang dipisahkan koma yang ingin Anda ambil proses terkait entitasnya.

Run On

Tindakan ini berjalan di entity berikut:

• Hostname
• URL
• Hash

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
  

Pengayaan Entity

Nama Kolom Pengayaan	Logika - Kapan harus diterapkan
Nama Proses	Menampilkan apakah ada dalam hasil JSON
Indikator	Menampilkan apakah ada dalam hasil JSON
Nama Host	Menampilkan apakah ada dalam hasil JSON

Insight Entitas

T/A

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika proses yang terkait dengan entitas ditemukan untuk setidaknya satu endpoint (is_success=true): "Successfully retrieved processes related to the IOCs on the following endpoints in CrowdStrike Falcon: {device name}." Jika tidak ada proses yang ditemukan untuk setidaknya satu endpoint atau perangkat tidak ditemukan (is_success=true): "No related processes were found on the following endpoints in CrowdStrike Falcon: {device name}." Jika tidak ada proses yang ditemukan untuk semua endpoint atau tidak ada perangkat yang ditemukan (is_success=false): "No related processes were found on the provided endpoints in CrowdStrike Falcon. Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error kritis dilaporkan: "Error executing "{action name}". Alasan: {trace back}."

Menyembunyikan Host

Gunakan tindakan Sembunyikan Host untuk menyembunyikan satu atau beberapa host dari konsol CrowdStrike Falcon.

Tindakan ini berjalan di entity Google SecOps berikut:

• Hostname
• Alamat IP

Input tindakan

Tindakan Sembunyikan Host memerlukan parameter berikut:

Parameter	Deskripsi
Hostname	Opsional. Daftar nama host yang dipisahkan koma untuk disembunyikan di CrowdStrike Falcon. Tindakan ini memproses nilai input yang diberikan dalam parameter ini dan entitas Hostname dan IP Address yang dilampirkan ke kasus.
Customer ID	Opsional. ID Pelanggan (CID) CrowdStrike yang unik dan digunakan untuk menargetkan tenant tertentu. Parameter ini diperlukan di lingkungan Falcon Flight Control atau multi-tenant untuk melakukan tindakan pada CID turunan tertentu.

Output tindakan

Tindakan Sembunyikan Host memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Hide Hosts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully hid the following hosts in Crowdstrike: HOSTS. Action wasn't able to hide the following hosts in Crowdstrike: HOSTS. None of the provided hosts were hidden.	Tindakan berhasil.
Error executing action "Hide Host". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Sembunyikan Host:

Nama hasil skrip	Nilai
is_success	true atau false

Endpoint yang Berisi Peningkatan

Gunakan tindakan Lift Contained Endpoint untuk membatalkan penampungan endpoint di CrowdStrike Falcon.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan Lift Contained Endpoint memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Fail If Timeout	Opsional Jika dipilih dan penampungan tidak dihentikan di semua endpoint, tindakan akan gagal. Dipilih secara default.

Output tindakan

Tindakan Lift Contained Endpoint memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan entitas	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pengayaan entitas

Tindakan Lift Contained Endpoint mendukung pengayaan entitas berikut:

Kolom pengayaan	Logika
status	Menampilkan apakah ada di hasil JSON
modified_timestamp	Menampilkan apakah ada di hasil JSON
major_version	Menampilkan apakah ada di hasil JSON
config_id_platform	Menampilkan apakah ada di hasil JSON
system_manufacturer	Menampilkan apakah ada di hasil JSON
device_policies	Menampilkan apakah ada di hasil JSON
meta	Menampilkan apakah ada di hasil JSON
pointer_size	Menampilkan apakah ada di hasil JSON
last_seen	Menampilkan apakah ada di hasil JSON
agent_local_time	Menampilkan apakah ada di hasil JSON
first_seen	Menampilkan apakah ada di hasil JSON
service_pack_major	Menampilkan apakah ada di hasil JSON
slow_changing_modified_timestamp	Menampilkan apakah ada di hasil JSON
service_pack_minor	Menampilkan apakah ada di hasil JSON
system_product_name	Menampilkan apakah ada di hasil JSON
product_type_desc	Menampilkan apakah ada di hasil JSON
build_number	Menampilkan apakah ada di hasil JSON
cid	Menampilkan apakah ada di hasil JSON
local_ip	Menampilkan apakah ada di hasil JSON
external_ip	Menampilkan apakah ada di hasil JSON
hostname	Menampilkan apakah ada di hasil JSON
config_id_build	Menampilkan apakah ada di hasil JSON
minor_version	Menampilkan apakah ada di hasil JSON
platform_id	Menampilkan apakah ada di hasil JSON
os_version	Menampilkan apakah ada di hasil JSON
config_id_base	Menampilkan apakah ada di hasil JSON
provision_status	Menampilkan apakah ada di hasil JSON
mac_address	Menampilkan apakah ada di hasil JSON
bios_version	Menampilkan apakah ada di hasil JSON
platform_name	Menampilkan apakah ada di hasil JSON
agent_load_flags	Menampilkan apakah ada di hasil JSON
device_id	Menampilkan apakah ada di hasil JSON
product_type	Menampilkan apakah ada di hasil JSON
agent_version	Menampilkan apakah ada di hasil JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Lift Contained Endpoint:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }

Pesan output

Tindakan Lift Contained Endpoint memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID	Pesan asinkron.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID	Tindakan gagal. Periksa status endpoint dan nilai parameter Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Lift Contained Endpoint:

Nama hasil skrip	Nilai
is_success	True atau False

Mencantumkan Kerentanan Host

Gunakan tindakan List Host Vulnerabilities untuk mencantumkan kerentanan yang ditemukan di host di CrowdStrike Falcon.

Tindakan ini memerlukan izin dan lisensi Falcon Spotlight.

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Hostname

Input tindakan

Tindakan List Host Vulnerabilities memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Severity Filter	Opsional Tentukan daftar tingkat keparahan kerentanan yang dipisahkan koma. Jika tidak ada yang diberikan, tindakan ini akan menyerap semua kerentanan terkait. Nilai yang mungkin: Critical, High, Medium, Low, Unknown.
Create Insight	Opsional Jika dipilih, tindakan ini akan membuat insight per entity yang berisi informasi statistik tentang kerentanan terkait. Dipilih secara default.
Max Vulnerabilities To Return	Opsional Tentukan jumlah kerentanan yang akan ditampilkan per host. Jika tidak ada yang diberikan, tindakan akan memproses semua kerentanan terkait. Nilai defaultnya adalah 100.

Output tindakan

Tindakan List Host Vulnerabilities memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Dinding Kasus, tindakan List Host Vulnerabilities menyediakan tabel berikut:

Jenis: Entity

Kolom:

• Nama
• Skor
• Keparahan
• Status
• Aplikasi
• Memiliki Perbaikan

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Host Vulnerabilities:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}

Pesan output

Tindakan List Host Vulnerabilities memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found for the following hosts: ENTITIES	Tindakan berhasil.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Tindakan gagal. Periksa nilai parameter Severity Filter.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Host Vulnerabilities:

Nama hasil skrip	Nilai
is_success	True atau False

Mencantumkan Host

Gunakan tindakan List Hosts untuk mencantumkan host yang tersedia di CrowdStrike Falcon.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tindakan List Hosts memerlukan parameter berikut:

Parameter
Filter Logic	Opsional Logika yang digunakan saat menelusuri host. Nilai defaultnya adalah Equals. Kemungkinan nilainya adalah sebagai berikut: Equals Contains
Filter Value	Opsional Nilai yang akan digunakan untuk pemfilteran host.
Max Hosts To Return	Opsional Jumlah host yang akan ditampilkan. Nilai defaultnya adalah 50. Nilai maksimum adalah 1000.

Output tindakan

Tindakan List Hosts memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Hosts:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]

Pesan output

Tindakan List Hosts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully retrieved available hosts based on the provided criteria. No hosts were found for the provided criteria.	Tindakan berhasil.
Error executing action "List Hosts". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Hosts:

Nama hasil skrip	Nilai
is_success	True atau False

Mencantumkan IOC yang Diupload

Gunakan tindakan List Uploaded IOCs untuk mencantumkan IOC kustom yang tersedia di CrowdStrike Falcon.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tindakan List Uploaded IOCs memerlukan parameter berikut:

Parameter
IOC Type Filter	Opsional Daftar jenis IOC yang dipisahkan koma untuk ditampilkan. Nilai defaultnya adalah ipv4,ipv6,md5,sha1,sha256,domain. Kemungkinan nilainya adalah sebagai berikut: ipv4 ipv6 md5 sha1 sha256 domain
Value Filter Logic	Opsional Nilai logika filter. Nilai defaultnya adalah Equal. Kemungkinan nilainya adalah sebagai berikut: Equal Contains Jika Equal disetel, tindakan akan mencoba menemukan kecocokan persis di antara IOC. Jika Contains disetel, tindakan akan mencoba menemukan IOC yang berisi substring yang dipilih.
Value Filter String	Opsional String untuk menelusuri IOC.
Max IOCs To Return	Opsional Jumlah IOC yang akan ditampilkan. Nilai defaultnya adalah 50. Nilai maksimumnya adalah 500.

Output tindakan

Tindakan List Uploaded IOCs memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Dinding Kasus, tindakan List Uploaded IOCs menyediakan tabel berikut:

Kolom:

• Tindakan
• Keparahan
• Ditandatangani
• AV Hits
• Platform
• Tag
• Dibuat Pada
• Dibuat Oleh

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Uploaded IOCs:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "[e-mail]",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "[e-mail]"
        }

Pesan output

Tindakan List Uploaded IOCs memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.	Tindakan gagal. Periksa ejaan dan nilai parameter IOC Type Filter.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Uploaded IOCs:

Nama hasil skrip	Nilai
is_success	True atau False

Pemindaian Sesuai Permintaan

Gunakan tindakan Pemindaian On-Demand untuk memindai endpoint sesuai permintaan di CrowdStrike.

Tindakan ini hanya berjalan di host Windows dan entity berikut:

• Alamat IP
• Hostname

Tindakan Pemindaian Sesuai Permintaan berjalan secara asinkron. Sesuaikan nilai waktu tunggu skrip di Google SecOps IDE, jika perlu.

Input tindakan

Tindakan Pemindaian Sesuai Permintaan memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
File Paths To Scan	Wajib Daftar jalur yang dipisahkan koma untuk dipindai. Nilai defaultnya adalah C:\Windows.
File Paths To Exclude From Scan	Opsional Daftar jalur yang dipisahkan koma untuk dikecualikan dari pemindaian.
Host Group Name	Opsional Daftar nama grup host yang dipisahkan koma untuk memulai pemindaian. Catatan: Proses pemindaian terpisah dibuat untuk setiap grup host.
Scan Description	Opsional Deskripsi untuk pemindaian. Jika tidak ada nilai yang diberikan, tindakan akan menetapkan deskripsi ke Scan initialized by Chronicle SecOps.
CPU Priority	Opsional Jumlah CPU yang akan digunakan untuk host yang mendasarinya selama pemindaian. Nilai yang mungkin: Up to 1% CPU utilization, Up to 25% CPU utilization, Up to 50% CPU utilization, Up to 75% CPU utilization, Up to 100% CPU utilization. Nilai defaultnya adalah Up to 25% CPU utilization.
Sensor Anti-malware Detection Level	Opsional Tentukan tingkat deteksi anti-malware sensor. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive. Nilai defaultnya adalah Moderate.
Sensor Anti-malware Prevention Level	Opsional Menentukan tingkat pencegahan anti-malware sensor. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Nilai defaultnya adalah Moderate.
Cloud Anti-malware Detection Level	Opsional Tentukan tingkat deteksi anti-malware cloud. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive. Nilai defaultnya adalah Moderate.
Cloud Anti-malware Prevention Level	Opsional Tentukan tingkat pencegahan anti-malware cloud. Catatan: Tingkat deteksi harus sama dengan atau lebih tinggi dari tingkat Pencegahan. Nilai yang mungkin: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. Nilai defaultnya adalah Moderate.
Quarantine Hosts	Opsional Jika dipilih, host yang mendasarinya akan dikarantina sebagai bagian dari pemindaian. Tidak dipilih secara default.
Create Endpoint Notification	Opsional Jika dipilih, proses pemindaian akan membuat notifikasi endpoint. Dipilih secara default.
Max Scan Duration	Opsional Jumlah jam untuk menjalankan pemindaian. Jika tidak ada nilai yang diberikan, pemindaian akan berjalan terus-menerus. Nilai defaultnya adalah 1.
Hostname	Opsional Daftar nama host yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.

Output tindakan

Tindakan Pemindaian Sesuai Permintaan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Pemindaian Sesuai Permintaan:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}

Pesan output

Tindakan Pemindaian Sesuai Permintaan memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances. None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created. Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS The following host groups were not found in CrowdStrike: HOST_GROUPS None of the provided host groups were found in CrowdStrike. Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS	Tindakan berhasil.
Error executing action "On-Demand Scan". Reason: ERROR_REASON Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Pemindaian Sesuai Permintaan:

Nama hasil skrip	Nilai
is_success	True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke CrowdStrike Falcon.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Hasil skrip	Tersedia

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	True atau False

Jalankan Skrip

Gunakan tindakan Run Script untuk menjalankan skrip PowerShell di endpoint di CrowdStrike.

Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di Google SecOps IDE, jika perlu.

Tindakan ini berjalan di entity Alamat IP dan Nama Host.

Input tindakan

Tindakan Run Script memerlukan parameter berikut:

Parameter
Customer ID	Opsional Tentukan ID pelanggan yang tindakannya ingin Anda jalankan.
Script Name	Opsional Nama file skrip yang perlu dieksekusi. Catatan: Script Name atau Raw Script harus diberikan. Jika keduanya disediakan, Raw Script akan diprioritaskan.
Raw Script	Opsional Payload skrip PowerShell mentah yang perlu dijalankan di endpoint. Catatan: Script Name atau Raw Script harus diberikan. Jika keduanya disediakan, Raw Script akan diprioritaskan.
Hostname	Opsional Daftar nama host yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Device ID	Opsional Daftar ID perangkat yang dipisahkan koma tempat Anda ingin menjalankan tindakan. Catatan: Tindakan ini dijalankan pada entity yang dilampirkan ke kasus dan nilai parameter ini.
Queue Offline	Opsional Jika dipilih, perintah yang menargetkan host offline akan diantrekan dan dieksekusi setelah host terhubung kembali ke jaringan. Tidak dipilih secara default.

Output tindakan

Tindakan Run Script memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Dinding Kasus, tindakan Jalankan Skrip memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Script wasn't executed on the provided endpoints in CrowdStrike. Waiting for the scripts to finish execution on the following endpoints: ENTITIES	Tindakan berhasil.
Error executing action "Run Script". Reason: ERROR_REASON Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Jalankan Skrip:

Nama hasil skrip	Nilai
is_success	True atau False

Telusuri Peristiwa

Gunakan tindakan ini untuk menelusuri peristiwa di CrowdStrike. Catatan: Tindakan berjalan secara asinkron, sesuaikan nilai waktu tunggu skrip di Google SecOps IDE untuk tindakan, sesuai kebutuhan.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Search Events memerlukan parameter berikut:

Parameter
Repository	Wajib Repositori yang harus ditelusuri. Kemungkinan nilainya adalah sebagai berikut: All Falcon Third Party IT Automation Forensics
Query	Wajib Kueri yang perlu dijalankan di CrowdStrike. Catatan: jangan berikan "head" sebagai bagian dari kueri. Tindakan akan menyediakannya secara otomatis berdasarkan nilai yang diberikan dalam parameter "Hasil Maksimal yang Akan Ditampilkan".
Time Frame	Opsional Jangka waktu untuk hasil. Jika "Kustom" dipilih, Anda juga harus memberikan "Waktu Mulai". Kemungkinan Nilai Jam Terakhir adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	Opsional Waktu mulai untuk hasil. Jika "Kustom" dipilih untuk parameter "Rentang Waktu", parameter ini wajib diisi. Format: ISO 8601.
End Time	Opsional Jumlah hasil yang akan ditampilkan untuk kueri. Tindakan akan menambahkan "head" ke kueri yang diberikan. Default: 50. Maksimum: 1000.

Output tindakan

Tindakan Search Events memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Di Dinding Kasus, tindakan Cari Peristiwa memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query "{query}" in CrowdStrike. No results were found for the query "{query}" in CrowdStrike Waiting for the search job to finish...	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook.
Error executing action "Search Events". Reason: {0}''.format(error.Stacktrace) Error executing action "Search Events". Reason: {0}''.format(message) Error executing action "Search Events". Reason: query Job {query id} has expired. Please decrease the async polling interval.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Search Events:

Nama hasil skrip	Nilai
is_success	True atau False

Kirim File

Gunakan tindakan Submit File untuk mengirimkan file ke sandbox di CrowdStrike.

Tindakan ini memerlukan lisensi Falcon Sandbox.

Tindakan ini tidak dijalankan pada entity.

Format file dan arsip yang didukung

Menurut portal CrowdStrike, sandbox mendukung format file berikut:

Format file yang didukung
.exe, .scr, .pif, .dll, .com, .cpl	Executable portabel
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub	Dokumen Office
.pdf	PDF
.apk	APK
.jar	JAR yang dapat dieksekusi
.sct	Komponen skrip Windows
.lnk	Pintasan Windows
.chm	Bantuan Windows
.hta	Aplikasi HTML
.wsf	File skrip Windows
.js	JavaScript
.vbs, .vbe	Visual Basic (VB)
.swf	Shockwave Flash
.pl	Perl
.ps1, .psd1, .psm1	Powershell
.svg	Grafik vektor yang dapat diskalakan
.py	Python
.elf	File yang dapat dieksekusi ELF Linux
.eml	File email: MIME RFC 822
.msg	Mengirim file melalui email: Outlook

Menurut portal CrowdStrike, sandbox mendukung format arsip berikut:

• .zip
• .7z

Input tindakan

Tindakan Kirim File memerlukan parameter berikut:

Parameter
File Paths	Wajib Daftar jalur absolut ke file yang dikirimkan. Formatnya bergantung pada deployment Anda: Deployment SaaS - Jalurnya bersifat internal untuk platform yang dihosting. Deployment Jarak Jauh - Jalur harus berupa jalur file absolut yang valid di komputer lokal tempat Agen Jarak Jauh diinstal (seperti, C:\temp\download untuk Windows atau /var/tmp/download/ untuk Linux). Untuk mengetahui daftar format file yang didukung, lihat Format file dan arsip yang didukung.
Sandbox Environment	Opsional Lingkungan sandbox untuk dianalisis. Nilai defaultnya adalah Windows 10, 64-bit. Kemungkinan nilainya adalah sebagai berikut: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opsional Lingkungan jaringan yang akan dianalisis. Nilai defaultnya adalah Default. Kemungkinan nilainya adalah sebagai berikut: Default TOR Offline Simulated
Archive Password	Opsional Sandi yang akan digunakan saat bekerja dengan file arsip.
Document Password	Opsional Sandi yang akan digunakan saat bekerja dengan file Adobe atau Office. Panjang maksimum sandi adalah 32 karakter.
Check Duplicate	Opsional Jika dipilih, tindakan akan memeriksa apakah file sudah dikirimkan sebelumnya dan menampilkan laporan yang tersedia. Selama validasi, tindakan tidak mempertimbangkan parameter Network Environment dan Sandbox Environment . Dipilih secara default.
Comment	Opsional Komentar yang akan dikirimkan.
Confidential Submission	Opsional Jika dipilih, file hanya ditampilkan kepada pengguna dalam akun pelanggan Anda. Tidak dipilih secara default.

Output tindakan

Tindakan Submit File memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Dinding Kasus, tindakan Kirim File menyediakan tabel berikut:

Kolom:

• Hasil
• Nama
• Skor Ancaman
• Putusan
• Tag

Pesan output

Tindakan Kirim File memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned details about the following files using CrowdStrike: PATHS Action wasn't able to return details about the following files using CrowdStrike: PATHS	Tindakan berhasil.
Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files. None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files. None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.	Tindakan menampilkan error. Periksa format file yang didukung untuk tindakan ini.
Waiting for results for the following files: PATHS	Pesan asinkron.
Error executing action "Submit File". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Tindakan gagal. Tingkatkan waktu tunggu di IDE.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Kirim File:

Nama hasil skrip	Nilai
is_success	True atau False

Kirimkan URL

Gunakan tindakan Kirim URL untuk mengirimkan URL ke sandbox di CrowdStrike.

Tindakan ini memerlukan lisensi Falcon Sandbox. Untuk memeriksa format file yang didukung sandbox, lihat bagian Format file dan arsip yang didukung dalam dokumen ini.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Kirimkan URL memerlukan parameter berikut:

Parameter
URLs	Wajib URL yang akan dikirimkan.
Sandbox Environment	Opsional Lingkungan sandbox untuk dianalisis. Nilai defaultnya adalah Windows 10, 64-bit. Kemungkinan nilainya adalah sebagai berikut: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opsional Lingkungan jaringan yang akan dianalisis. Nilai defaultnya adalah Default. Kemungkinan nilainya adalah sebagai berikut: Default TOR Offline Simulated
Check Duplicate	Opsional Jika dipilih, tindakan akan memeriksa apakah URL sudah dikirimkan sebelumnya dan menampilkan laporan yang tersedia. Selama validasi, tindakan tidak mempertimbangkan parameter Network Environment dan Sandbox Environment. Dipilih secara default.

Output tindakan

Tindakan Kirim URL memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Kirim URL memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned details about the following URLs using CrowdStrike: PATHS Action wasn't able to return details about the following URLs using CrowdStrike: PATHS	Tindakan berhasil.
Waiting for results for the following URLs: PATHS	Pesan asinkron.
Error executing action "Submit URL". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Tindakan gagal. Tingkatkan waktu tunggu di IDE.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Kirim URL:

Nama hasil skrip	Nilai
is_success	True atau False

Perbarui Notifikasi

Gunakan tindakan Perbarui Pemberitahuan untuk memperbarui pemberitahuan di CrowdStrike Falcon.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Perbarui Pemberitahuan memerlukan parameter berikut:

Parameter
Alert ID	Wajib ID pemberitahuan yang akan diperbarui.
Status	Opsional Status pemberitahuan. Kemungkinan nilainya adalah sebagai berikut: Closed In Progress New Reopened
Verdict	Opsional Putusan untuk pemberitahuan. Kemungkinan nilainya adalah sebagai berikut: True Positive False Positive
Assign To	Opsional Nama analis yang akan diberi tugas untuk menangani pemberitahuan. Jika Anda memberikan Unassign sebagai nilai parameter, tindakan akan menghapus penetapan dari pemberitahuan. API menerima nilai apa pun meskipun pengguna yang diberikan tidak ada dalam sistem.

Output tindakan

Tindakan Update Alert memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Perbarui Pemberitahuan:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Tindakan Update Alert memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated alert with ID ALERT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Update Alert". Reason: ERROR_REASON Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling. Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Perbarui Pemberitahuan:

Nama hasil skrip	Nilai
is_success	True atau False

Deteksi Update - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Perbarui Pemberitahuan sebagai gantinya.

Gunakan tindakan Perbarui Deteksi untuk memperbarui deteksi di CrowdStrike Falcon.

Tindakan ini dijalankan di semua entity.

Input tindakan

Tindakan Update Detection memerlukan parameter berikut:

Parameter	Deskripsi
Detection ID	Wajib. ID deteksi yang akan diperbarui.
Status	Wajib. Status deteksi. Nilai defaultnya adalah Select One. Kemungkinan nilainya adalah sebagai berikut: Select One new in_progress true_positive false_positive ignored closed
Assign Detection to	Opsional. Alamat email pengguna CrowdStrike Falcon yang merupakan penerima tugas deteksi.

Output tindakan

Tindakan Deteksi Pembaruan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Deteksi Update memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated detection DETECTION_ID in CrowdStrike Falcon.	Tindakan berhasil.
Error executing action "Update Detection". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.	Tindakan gagal. Periksa nilai parameter Status dan Assign Detection To.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Deteksi Pembaruan:

Nama hasil skrip	Nilai
is_success	true atau false

Memperbarui Deteksi Perlindungan Identitas

Gunakan Update Identity Protection Detection untuk memperbarui deteksi perlindungan identitas di CrowdStrike.

Tindakan ini memerlukan lisensi Identity Protection.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Update Identity Protection Detection memerlukan parameter berikut:

Parameter
Detection ID	Wajib ID deteksi yang akan diperbarui.
Status	Opsional Status deteksi. Nilai defaultnya adalah Select One. Nilai yang mungkin adalah sebagai berikut: Closed Ignored In Progress New Reopened Select One
Assign to	Opsional Nama analis yang ditugaskan. Jika Unassign diberikan, tindakan akan menghapus penerima tugas dari deteksi. Jika nilai yang tidak valid diberikan, tindakan tidak akan mengubah penerima tugas saat ini.

Output tindakan

Tindakan Update Identity Protection Detection memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update Identity Protection Detection:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Pesan output

Di Dinding Kasus, tindakan Perbarui Deteksi Perlindungan Identitas memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike.	Tindakan berhasil.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.	Tindakan gagal. Periksa nilai parameter Status dan Assign to.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update Identity Protection Detection:

Nama hasil skrip	Nilai
is_success	True atau False

Perbarui Insiden - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi. Gunakan tindakan Update Alert sebagai gantinya.

Gunakan tindakan Perbarui Insiden untuk memperbarui insiden di CrowdStrike.

Tindakan ini tidak dijalankan pada entity.

Input tindakan

Tindakan Perbarui Insiden memerlukan parameter berikut:

Parameter	Deskripsi
Incident ID	Wajib. ID insiden yang akan diperbarui.
Status	Opsional. Status insiden. Kemungkinan nilainya adalah sebagai berikut: Closed In Progress New Reopened
Assign to	Opsional. Nama atau alamat email analis yang ditugaskan. Jika Unassign diberikan, tindakan akan menghapus penerima tugas dari insiden. Untuk menentukan nama, berikan nama depan dan nama belakang analis dalam format berikut: "FIRST_NAME LAST_NAME"

Output tindakan

Tindakan Update Incident memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Perbarui Insiden:

 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }

Pesan output

Tindakan Update Incident memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated incident with ID INCIDENT_ID in CrowdStrike	Tindakan berhasil.
Error executing action "Update Incident". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi, parameter input, atau kredensial.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Perbarui Insiden:

Nama hasil skrip	Nilai
is_success	True atau False

Memperbarui Informasi IOC

Gunakan tindakan Update IOC Information untuk memperbarui informasi tentang IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entitas Nama host sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Perbarui Informasi IOC berjalan pada entity berikut:

• Hostname
• URL
• Alamat IP
• Hash

Input tindakan

Tindakan Perbarui Informasi IOC memerlukan parameter berikut:

Parameter
Description	Opsional Deskripsi baru untuk IOC kustom.
Source	Opsional Sumber untuk IOC kustom.
Expiration days	Opsional Jumlah hari tersisa hingga masa berlaku habis. Parameter ini hanya memengaruhi entitas URL, alamat IP, dan Hostname.
Detect policy	Opsional Jika dipilih, tindakan akan mengirimkan notifikasi untuk IOC yang teridentifikasi. Jika tidak dipilih, tindakan tidak akan mengirim notifikasi. Dipilih secara default.

Output tindakan

Tindakan Update IOC Information memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Update IOC Information:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "[e-mail]",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}

Pesan output

Di Dinding Kasus, tindakan Perbarui Informasi IOC memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Update IOC Information". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Perbarui Informasi IOC:

Nama hasil skrip	Nilai
is_success	True atau False

Mengupload IOC

Gunakan tindakan Upload IOC untuk menambahkan IOC kustom di CrowdStrike Falcon.

Tindakan ini memperlakukan entitas Nama host sebagai IOC domain dan mengekstrak bagian domain dari URL. Tindakan ini hanya mendukung hash MD5 dan SHA-256.

Tindakan Upload IOC berjalan pada entity berikut:

• Alamat IP
• Hostname
• URL
• Hash

Input tindakan

Tindakan Upload IOCs memerlukan parameter berikut:

Parameter
Platform	Wajib Daftar platform yang dipisahkan koma yang terkait dengan IOC. Nilai defaultnya adalah Windows,Linux,Mac. Kemungkinan nilainya adalah sebagai berikut: Windows Linux Mac
Severity	Wajib Tingkat keparahan IOC. Nilai defaultnya adalah Medium. Kemungkinan nilainya adalah sebagai berikut: Informational Low Medium High Critical
Comment	Opsional Komentar yang berisi lebih banyak konteks terkait IOC.
Host Group Name	Wajib Nama grup host.
Action	Opsional Tindakan untuk IOC yang diupload. Nilai defaultnya adalah Detect. Kemungkinan nilainya adalah sebagai berikut: Block Detect Nilai Block hanya berlaku untuk hash MD5. Tindakan selalu menerapkan kebijakan Detect ke semua jenis IOC lainnya.
Days To Expire	Opsional Jumlah hari sebelum IOC berakhir.

Output tindakan

Tindakan Upload IOC memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Upload IOC memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID	Tindakan berhasil.
Error executing action "Upload IOCs". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.	Tindakan gagal. Periksa nilai parameter Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.	Tindakan gagal. Periksa nilai parameter Platform.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Upload IOC:

Nama hasil skrip	Nilai
is_success	True atau False

Konektor

Pastikan Anda telah mengonfigurasi izin minimal untuk setiap konektor CrowdStrike. Untuk mengetahui detail selengkapnya, lihat bagian Izin konektor dalam dokumen ini.

Untuk mengetahui petunjuk cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Peristiwa CrowdStrike

Peristiwa adalah informasi yang dikumpulkan oleh sensor Falcon di host Anda. Ada empat jenis peristiwa di CrowdStrike:

Jenis peristiwa CrowdStrike
Peristiwa audit aktivitas autentikasi	Peristiwa yang dihasilkan setiap kali otorisasi diminta, diizinkan, atau diselesaikan di endpoint.
Peristiwa ringkasan deteksi	Peristiwa yang dihasilkan saat ancaman terdeteksi di endpoint.
Peristiwa akhir sesi respons jarak jauh	Peristiwa yang dihasilkan dari sesi jarak jauh di endpoint.
Peristiwa audit aktivitas pengguna	Peristiwa yang dibuat untuk memantau aktivitas yang dilakukan oleh pengguna aktif di endpoint.

Konektor menyerap peristiwa ke Google SecOps untuk membuat pemberitahuan dan memperkaya kasus dengan data peristiwa. Anda dapat memilih peristiwa yang akan di-ingest ke Google SecOps: semua jenis peristiwa atau yang dipilih.

Tidak digunakan lagi: Konektor Deteksi CrowdStrike

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Sebagai gantinya, gunakan CrowdStrike - Alerts Connector.

Gunakan CrowdStrike Detections Connector untuk menarik deteksi dari CrowdStrike.

Daftar dinamis berfungsi dengan filter yang didukung oleh CrowdStrike API.

Cara menggunakan daftar dinamis

Saat menggunakan daftar dinamis, ikuti rekomendasi berikut:

• Gunakan bahasa FQL CrowdStrike untuk mengubah filter yang dikirim oleh konektor.
• Berikan entri terpisah dalam daftar dinamis untuk setiap filter.
• Untuk menyerap semua deteksi yang ditetapkan ke analis tertentu, pastikan analis tersebut memberikan entri daftar dinamis berikut:

  assigned_to_name:'ANALYST_USER_NAME'

Daftar dinamis mendukung parameter berikut:

Parameter yang didukung	Deskripsi
q	Penelusuran teks lengkap di semua kolom metadata.
date_updated	Tanggal update deteksi terbaru.
assigned_to_name	Nama pengguna yang dapat dibaca manusia dari penerima tugas deteksi.
max_confidence	Jika deteksi memiliki lebih dari satu perilaku terkait dengan tingkat keyakinan yang bervariasi, kolom ini mencatat nilai keyakinan tertinggi dari semua perilaku. Nilai parameter dapat berupa bilangan bulat apa pun dari 1 hingga 100.
detection_id	ID deteksi yang dapat digunakan bersama dengan API lain, seperti Detection Details API atau Resolve Detection API.
max_severity	Jika deteksi memiliki lebih dari satu perilaku terkait dengan tingkat keparahan yang bervariasi, kolom ini akan mencatat nilai tingkat keparahan tertinggi dari semua perilaku. Nilai parameter dapat berupa bilangan bulat apa pun dari 1 hingga 100.
max_severity_displayname	Nama yang digunakan di UI untuk menentukan tingkat keparahan deteksi. Kemungkinan nilainya adalah sebagai berikut: Critical High Medium Low
seconds_to_triaged	Waktu yang diperlukan agar deteksi mengubah statusnya dari new menjadi in_progress.
seconds_to_resolved	Waktu yang diperlukan agar deteksi mengubah statusnya dari new menjadi salah satu status yang telah diselesaikan (true_positive, false_positive, ignored, dan closed).
status	Status deteksi saat ini. Kemungkinan nilainya adalah sebagai berikut: new in_progress true_positive false_positive ignored
adversary_ids	Penyerang yang dilacak oleh CrowdStrike Falcon Intelligence memiliki ID yang terkait dengan perilaku atau indikator yang diatribusikan dalam deteksi. ID ini berada di metadata deteksi yang dapat diakses melalui Detection Details API.
cid	ID pelanggan (CID) organisasi Anda.

Input konektor

CrowdStrike Detections Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah behaviors_technique.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.
Script Timeout (Seconds)	Wajib. Batas waktu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. ID klien akun CrowdStrike.
Client Secret	Wajib. Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional. Skor tingkat keparahan terendah dari deteksi yang akan diambil (maks. 100). Nilai defaultnya adalah 50.
Lowest Confidence Score To Fetch	Opsional. Skor keyakinan terendah dari deteksi yang akan diambil (maks. 100). Nilai defaultnya adalah 0.
Max Hours Backwards	Opsional. Jumlah jam untuk mengambil deteksi. Nilai defaultnya adalah 1.
Max Detections To Fetch	Opsional. Jumlah deteksi yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme overflow.
Verify SSL	Wajib. Jika dipilih, integrasi akan memverifikasi sertifikat SSL.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.
Case Name Template	Opsional. Format placeholder: [FIELD_NAME ].
Alert Name Template	Opsional. Format placeholder: [FIELD_NAME ].
Padding Period	Opsional. Jumlah jam yang digunakan untuk penggabungan (maks. 6).
Include Hidden Alerts	Opsional. Jika diaktifkan, mengambil notifikasi yang diberi label "tersembunyi".
Fallback Severity	Opsional. Diterapkan jika tingkat keparahan tidak ada. Default: Informasional.
Customer ID	Opsional. ID pelanggan untuk lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor mendukung proxy.

Peristiwa konektor

Contoh peristiwa konektor adalah sebagai berikut:

{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}
    

Konektor Peristiwa Streaming CrowdStrike Falcon

CrowdStrike Falcon Streaming Events Connector menangani kasus penggunaan berikut:

1. Penyerapan data peristiwa deteksi.

   CrowdStrike Falcon mendeteksi upaya untuk mengeksekusi file SophosCleanM.exe berbahaya di endpoint. CrowdStrike menghentikan operasi dan membuat pemberitahuan yang berisi hash file dalam data peristiwa.

   Seorang analis yang tertarik dengan reputasi file menjalankan hash yang ditemukan di VirusTotal dan mengetahui bahwa hash tersebut berbahaya. Sebagai langkah berikutnya, tindakan Mcafee EDR mengarantina file berbahaya.

2. Penyerapan data peristiwa audit aktivitas pengguna.

   Pengguna CrowdStrike, Dani, memperbarui status deteksi dari new menjadi false-positive. Tindakan pengguna ini akan membuat peristiwa bernama detection_update.

   Analis melakukan tindak lanjut untuk memahami alasan Dani menandai tindakan tersebut sebagai positif palsu dan memeriksa peristiwa yang diserap yang berisi informasi tentang identitas Dani.

   Sebagai langkah selanjutnya, analis menjalankan tindakan Perkaya Entitas Active Directory untuk mendapatkan detail selengkapnya tentang insiden dan menyederhanakan pelacakan Dani.

3. Penyerapan data peristiwa audit aktivitas autentikasi.

   Peristiwa menunjukkan bahwa Dani telah membuat akun pengguna baru dan memberikan peran pengguna ke akun tersebut.

   Untuk menyelidiki peristiwa dan memahami alasan pengguna dibuat, analis menggunakan ID pengguna Dani untuk menjalankan tindakan Enrich Entities Active Directory dan mengetahui peran pengguna Dani untuk mengonfirmasi apakah dia diberi otorisasi untuk menambahkan pengguna baru.

4. Penyerapan data peristiwa akhir respons jarak jauh.

   Peristiwa jarak jauh menunjukkan bahwa Dani memiliki koneksi jarak jauh ke host tertentu dan menjalankan perintah sebagai pengguna root untuk mengakses direktori server web.

   Untuk mendapatkan informasi selengkapnya tentang Dani dan host yang terlibat, analis menjalankan tindakan Active Directory untuk memperkaya pengguna dan host. Berdasarkan informasi yang ditampilkan, analis dapat memutuskan untuk menangguhkan Dani hingga tujuan koneksi jarak jauh tersebut diklarifikasi.

Input konektor

CrowdStrike Falcon Streaming Event Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah device_product.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah Name.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Dengan parameter ini, Anda dapat memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib ID klien akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Event types	Opsional Daftar jenis acara yang dipisahkan koma. Contoh jenis peristiwa adalah sebagai berikut: DetectionSummaryEvent IncidentSummaryEvent AuthActivityAuditEvent UserActivityAuditEvent RemoteResponseSessionStartEvent RemoteResponseSessionEndEvent
Max Days Backwards	Opsional Jumlah hari sebelum hari ini untuk mengambil deteksi. Nilai defaultnya adalah 3.
Max Events Per Cycle	Opsional Jumlah peristiwa yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Min Severity	Opsional Peristiwa yang akan diproses berdasarkan tingkat keparahan peristiwa (peristiwa deteksi). Nilainya berkisar dari 0 hingga 5. Jika jenis peristiwa lain selain deteksi di-ingest, tingkat keparahannya ditetapkan ke -1 dan filter ini tidak berlaku untuk jenis peristiwa tersebut.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Script Timeout (Seconds)	Wajib Batas waktu tunggu untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 60 detik.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Rule Generator Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk generator aturan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan generator aturan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dieksekusi. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Konektor ini tidak mendukung daftar dinamis.

Konektor Deteksi CrowdStrike Identity Protection

Gunakan CrowdStrike Identity Protection Detections Connector untuk menarik deteksi perlindungan identitas dari CrowdStrike. Daftar dinamis berfungsi dengan parameter display_name.

Konektor ini memerlukan lisensi Identity Protection.

Input konektor

CrowdStrike Identity Protection Detections Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah behaviors_technique.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Dengan parameter ini, Anda dapat memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib Batas waktu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib ID klien akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional Skor tingkat keparahan terendah dari deteksi yang akan diambil. Jika tidak ada nilai yang diberikan, konektor tidak akan menerapkan filter ini. Nilai maksimum adalah 100. Nilai defaultnya adalah 50. Konektor juga mendukung nilai berikut untuk parameter ini: Low Medium High Critical
Lowest Confidence Score To Fetch	Opsional skor keyakinan terendah dari deteksi yang akan diambil. Jika tidak ada nilai yang diberikan, konektor tidak akan menerapkan filter ini. Nilai maksimum adalah 100. Nilai defaultnya adalah 0.
Max Hours Backwards	Opsional Jumlah jam sebelum sekarang untuk mengambil deteksi dari. Nilai defaultnya adalah 1.
Max Detections To Fetch	Opsional Jumlah deteksi yang akan diproses dalam satu iterasi konektor. Nilai defaultnya adalah 10.
Case Name Template	Opsional Jika diberikan, konektor akan menambahkan kunci baru bernama custom_case_name ke Acara Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dieksekusi. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Contoh peristiwa konektor adalah sebagai berikut:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Tidak digunakan lagi: Konektor Insiden CrowdStrike

Tidak digunakan lagi: Konektor ini tidak digunakan lagi. Sebagai gantinya, gunakan CrowdStrike Alerts Connector untuk menarik data insiden dan perilaku.

Gunakan CrowdStrike Incidents Connector untuk menarik insiden dan perilaku terkait dari CrowdStrike.

Daftar dinamis berfungsi dengan parameter incident_type.

Parameter konektor

CrowdStrike Incidents Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah data_type.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk memanipulasi nilai kolom lingkungan. Gunakan .* default untuk mengambil nilai mentah.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu untuk proses Python. Nilai defaultnya adalah 180.
API Root	Wajib. Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. ID klien akun CrowdStrike.
Client Secret	Wajib. Rahasia klien akun CrowdStrike.
Lowest Severity Score To Fetch	Opsional. Skor tingkat keseriusan terendah dari insiden yang akan diambil. Mendukung nilai Low, Medium, High, Critical, atau numerik hingga 100.
Max Hours Backwards	Opsional. Periode lihat balik pengambilan dalam jam. Nilai defaultnya adalah 1.
Max Incidents To Fetch	Opsional. Jumlah insiden per iterasi. Maksimum adalah 100. Nilai defaultnya adalah 10.
Use dynamic list as a blocklist	Wajib. Jika dipilih, daftar dinamis akan berfungsi sebagai daftar blokir.
Disable Overflow	Opsional. Jika dipilih, mengabaikan mekanisme tambahan.
Verify SSL	Wajib. Memverifikasi sertifikat SSL untuk koneksi.
Proxy Parameters	Opsional. Mencakup Proxy Server Address, Proxy Username, dan Proxy Password.
Customer ID	Opsional. ID tenant untuk lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Konektor mendukung dua jenis peristiwa: berbasis insiden dan berbasis perilaku.

Contoh: Acara berbasis insiden

 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

Contoh: Peristiwa berbasis perilaku

 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike – Konektor Notifikasi

Gunakan CrowdStrike – Alerts Connector untuk menarik pemberitahuan dari CrowdStrike. Daftar dinamis berfungsi dengan parameter display_name.

Untuk mengambil deteksi perlindungan identitas, gunakan Konektor Deteksi Perlindungan Identitas.

Input konektor

CrowdStrike – Alerts Connector memerlukan parameter berikut:

Parameter
Product Field Name	Wajib Nama kolom sumber yang berisi nama Product Field. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib Nama kolom sumber yang berisi nama Event Field. Nilai defaultnya adalah product.
Environment Field Name	Opsional Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan default akan digunakan. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Dengan parameter ini, Anda dapat memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib Batas waktu dalam detik untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib Root API instance CrowdStrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib ID klien akun CrowdStrike.
Client Secret	Wajib Rahasia klien akun CrowdStrike.
Case Name Template	Opsional Jika diberikan, konektor akan menambahkan kunci baru bernama custom_case_name ke Acara Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Alert Name Template	Opsional Jika diberikan, konektor akan menggunakan nilai ini untuk Nama Pemberitahuan Google SecOps. Anda dapat memberikan placeholder dalam format berikut: [FIELD_NAME], seperti Phishing - [event_mailbox]. Catatan: Jika Anda tidak memberikan nilai atau template yang tidak valid, konektor akan menggunakan nama pemberitahuan default. Konektor menggunakan peristiwa Google SecOps pertama untuk placeholder. Parameter ini hanya mengizinkan kunci dengan nilai string.
Lowest Severity Score To Fetch	Opsional Skor tingkat keseriusan terendah dari insiden yang akan diambil. Jika tidak ada nilai yang diberikan, konektor akan menyerap insiden dengan semua tingkat keparahan. Nilai maksimum adalah 100. Konektor juga mendukung nilai berikut untuk parameter ini: Rendah Sedang Tinggi Kritis Di UI CrowdStrike, nilai yang sama ditampilkan sebagai dibagi 10.
Max Hours Backwards	Opsional Jumlah jam sebelum saat ini untuk mengambil insiden. Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional Jumlah pemberitahuan yang akan diproses dalam satu iterasi konektor. Nilai maksimum adalah 100. Nilai defaultnya adalah 10.
Use dynamic list as a blocklist	Wajib Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar blokir. Tidak dipilih secara default.
Disable Overflow	Opsional Jika dipilih, konektor akan mengabaikan mekanisme overflow. Tidak dipilih secara default.
Verify SSL	Wajib Jika dipilih, integrasi akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server CrowdStrike valid. Tidak dipilih secara default.
Proxy Server Address	Opsional Alamat server proxy yang akan digunakan.
Proxy Username	Opsional Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional Sandi proxy untuk melakukan autentikasi.
Customer ID	Opsional ID pelanggan tenant tempat konektor akan dieksekusi. Untuk digunakan di lingkungan multi-tenant (MSSP).

Aturan konektor

Konektor ini mendukung proxy.

Peristiwa konektor

Contoh peristiwa berdasarkan pemberitahuan adalah sebagai berikut:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Crowdstrike Falcon - Sync Alerts

Gunakan tugas Crowdstrike Falcon - Sync Alerts untuk menyinkronkan komentar dan status dua arah antara Google SecOps dan Crowdstrike.

Persyaratan pekerjaan

Untuk memastikan tugas mengidentifikasi dan menyinkronkan data yang benar, kondisi berikut harus dipenuhi:

• Kasus Google SecOps harus berisi tag Crowdstrike Alert.

• Jika pemberitahuan tidak berasal dari Alerts Connector atau Identity Protections Detection Connector, Anda harus menambahkan nilai konteks pemberitahuan Alert_ID agar tugas dapat mengidentifikasi rekaman Crowdstrike yang benar.

Logika operasional

Tugas ini menyinkronkan data dalam dua tahap. Tahap pertama menyinkronkan data Crowdstrike ke pemberitahuan Google SecOps. Tahap kedua menyelaraskan data pemberitahuan Google SecOps dengan pemberitahuan Crowdstrike.

Tugas menggunakan Max Hours Backwards untuk iterasi awal. Untuk semua permintaan berikutnya, tugas menggunakan start_time dari pemberitahuan terakhir yang diproses.

Logika sinkronisasi komentar

Tugas ini menggunakan last_update_time untuk memfilter komentar dan mencegah entri duplikat. Komentar yang disinkronkan menggunakan struktur berikut:

• Dikirim dari Crowdstrike: Crowdstrike {ticket_id}: {comment}

• Dikirim dari Google SecOps: Google SecOps {case_id}: {comment}

Komentar penutupan kasus Google SecOps juga disinkronkan ke Crowdstrike sebagai komentar.

Pemetaan status dan verdict

Saat pemberitahuan ditutup di Google SecOps, tugas akan memperbarui pemberitahuan Crowdstrike yang sesuai dengan status Closed. Tugas ini juga menerapkan pemetaan berikut untuk putusan analis:

• Jika Alasan penutupan adalah Malicious, Keputusan Crowdstrike akan disetel ke True Positive.

• Jika Alasan penutupan adalah Not Malicious, Putusan Crowdstrike ditetapkan ke False Positive.

• Untuk semua alasan penutupan lainnya, status ditetapkan ke Closed tanpa putusan.

Parameter tugas

Pekerjaan Crowdstrike Falcon - Sync Alerts memerlukan parameter berikut:

Parameter	Deskripsi
Environment Name	Wajib. Nama lingkungan tempat tugas menelusuri pemberitahuan. Nilai defaultnya adalah Default Environment.
API Root	Wajib. Root API instance Crowdstrike. Nilai defaultnya adalah https://api.crowdstrike.com.
Client ID	Wajib. ID klien akun Crowdstrike.
Client Secret	Wajib. Rahasia klien akun Crowdstrike.
Max Hours Backwards	Wajib. Jumlah jam sebelum waktu saat ini untuk menyinkronkan pemberitahuan selama iterasi tugas pertama. Nilai defaultnya adalah 24.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Crowdstrike. Diaktifkan secara default.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.