Integra CrowdStrike Falcon con Google SecOps
Questo documento spiega come integrare CrowdStrike Falcon con Google Security Operations.
Questa integrazione utilizza uno o più componenti open source. Puoi scaricare una copia del codice sorgente completo di questa integrazione dal bucket Cloud Storage.
Casi d'uso
Nella piattaforma Google SecOps, l'integrazione di CrowdStrike Falcon risolve i seguenti casi d'uso:
Contenimento automatico del malware: utilizza le funzionalità della piattaforma Google SecOps per mettere automaticamente in quarantena l'endpoint interessato, recuperare l'hash del file per ulteriori analisi e impedire la diffusione del malware. Il contenimento automatico del malware si attiva quando un'email di phishing attiva un avviso di CrowdStrike Falcon per il download di un file sospetto.
Risposta agli incidenti accelerata: utilizza Google SecOps per raccogliere dati contestuali come alberi dei processi e connessioni di rete, isolare l'host compromesso e creare un ticket per l'indagine.
Ricerca e indagine sulle minacce: utilizza le funzionalità della piattaforma Google SecOps per eseguire query su CrowdStrike Falcon per azioni utente, modifiche ai file e connessioni di rete specifiche in un periodo di tempo definito. La ricerca e l'indagine sulle minacce consentono agli analisti della sicurezza di indagare su una potenziale minaccia interna e di analizzare l'attività storica degli endpoint, semplificando al contempo il processo di indagine.
Risposta e correzione del phishing: utilizza CrowdStrike Falcon e la piattaforma Google SecOps per scansionare gli allegati delle email, aprirli in un ambiente sandbox e bloccare automaticamente l'indirizzo email del mittente se viene rilevata un'attività dannosa.
Gestione delle vulnerabilità: utilizza le funzionalità della piattaforma Google SecOps per creare automaticamente ticket per ogni sistema vulnerabile, assegnare loro la priorità in base alla gravità e al valore degli asset e attivare workflow di applicazione automatica delle patch. La gestione delle vulnerabilità ti aiuta a identificare una vulnerabilità critica su più endpoint.
Prima di iniziare
Prima di configurare l'integrazione in Google SecOps, completa i seguenti passaggi:
Configura il client API CrowdStrike Falcon.
Configura le autorizzazioni per le azioni.
Configura le autorizzazioni del connettore.
Configura il client API CrowdStrike Falcon
Per definire un client API CrowdStrike e visualizzare, creare o modificare client o chiavi API, devi disporre del ruolo FalconAdministrator.
I secret vengono mostrati solo quando crei un nuovo client API o lo reimposti.
Per configurare il client API CrowdStrike Falcon, completa i seguenti passaggi:
- Nella UI di Falcon, vai a Support and resources > Resources and tools > API clients and keys. In questa pagina puoi trovare i client esistenti, aggiungere nuovi client API o visualizzare l'audit log.
- Fai clic su Create API Client (Crea client API).
- Specifica un nome per il nuovo client API.
- Seleziona gli ambiti API appropriati.
Fai clic su Crea. Vengono visualizzati i valori ID client e Client secret.
Questa è l'unica volta in cui vedrai il valore del client secret. Assicurati di conservarla in un luogo sicuro. Se perdi il client secret, reimposta il client API e aggiorna tutte le applicazioni che si basano sul client secret con le nuove credenziali.
Per maggiori dettagli sull'accesso all'API CrowdStrike, consulta la guida Getting Access to the CrowdStrike API nel blog di CrowdStrike.
Configura le autorizzazioni per le azioni
Consulta le autorizzazioni minime per le azioni, elencate nella tabella seguente:
| Azione | Autorizzazioni obbligatorie |
|---|---|
| Aggiungi commento all'avviso | Alerts.ReadAlerts.Write |
| Aggiungi commento al rilevamento | Detections.ReadDetection.Write |
| Aggiungi commento sul rilevamento di Identity Protection | Alerts.ReadAlerts.Write |
| Aggiungi commento all'incidente | Incidents.Write |
| Rilevamento di chiusura | Detections.ReadDetection.Write |
| Isola endpoint | Hosts.ReadHosts.Write |
| Elimina IOC | IOC Management.ReadIOC Management.Write |
| Scarica file | Hosts.ReadReal time response.ReadReal time response.Write |
| Esegui comando | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write* per i comandi con privilegi completi.
|
| Visualizza i dettagli dell'avviso | Alerts.Read |
| Recupera l'offset dell'evento | Event streams.Read |
| Ottieni host per IOC | Non disponibile: ritirato |
| Ottieni informazioni sull'host | Hosts.Read |
| Ottieni nome processo per IOC | Non disponibile: ritirato |
| Nascondi host | Hosts.ReadHosts.Write |
| Endpoint Lift Contained | Hosts.ReadHosts.Write |
| Elenca host | Hosts.Read |
| Elenca le vulnerabilità dell'host | Hosts.ReadSpotlight vulnerabilities.Read |
| Elenca gli IOC caricati | IOC Management.Read |
| Scansione on demand | On-demand scans (ODS).ReadOn-demand scans (ODS).Write |
| Dindin | Hosts.Read |
| Esegui script | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write |
| Cerca eventi | NGSIEM.ReadNGSIEM.Write |
| Invia file | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| Invia URL | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| Aggiorna avviso | Alerts.ReadAlerts.Write |
| Aggiorna rilevamento | Detections.ReadDetection.WriteUser management.Read |
| Aggiorna il rilevamento di Identity Protection | Alerts.ReadAlerts.Write |
| Aggiorna incidente | Incidents.Write |
| Aggiorna le informazioni sugli IOC | IOC Management.ReadIOC Management.Write |
| Carica IOC | IOC Management.ReadIOC Management.Write |
Configura le autorizzazioni del connettore
Consulta le autorizzazioni minime per i connettori, elencate nella tabella seguente:
| Connettore | Autorizzazioni obbligatorie |
|---|---|
| Connettore di avvisi CrowdStrike | Alerts.Read |
| Connettore CrowdStrike Detections | Detection.Read |
| Connettore CrowdStrike Falcon Streaming Events | Event streams.Read |
| Connettore di rilevamento di CrowdStrike Identity Protection | Alerts.Read |
| Connettore CrowdStrike Incidents | Incidents.Read |
Endpoint
L'integrazione di CrowdStrike Falcon interagisce con i seguenti endpoint API CrowdStrike Falcon:
Endpoint API generali:
/oauth2/token
Host e dispositivi:
/devices/entities/devices/v1/devices/entities/devices-actions/v2
Rilevamenti ed eventi:
/detections/entities/detections/v2/detections/entities/summaries/GET/v1/protection/entities/detections/v1/humio/api/v1/repositories/{repository}/queryjobs/humio/api/v1/repositories/{repository}/queryjobs/{job_id}
Indicatori di compromissione (IOC):
/intel/entities/indicators/v1/intel/queries/devices/v1
Vulnerabilità:
/devices/combined/devices/vulnerabilities/v1
Risposta e contenimento:
/respond/entities/command-queues/v1/respond/entities/extracted-files/v1
Incidenti:
/incidents/entities/incidents/GET/v1/incidents/entities/incidents/comments/GET/v1/incidents/entities/incidents/GET/v1
Analisi di file e URL:
/malware-uploads/entities/submissions/v2/url/entities/scans/v1
Parametri di integrazione
Affinché l'integrazione funzioni correttamente, è necessaria una versione premium di CrowdStrike Falcon con funzionalità complete. Alcune azioni non funzionano con una versione di base di CrowdStrike Falcon.
L'integrazione di CrowdStrike Falcon richiede i seguenti parametri:
| Parametri | |
|---|---|
API Root |
Una radice API dell'istanza di CrowdStrike. Il valore predefinito è |
Client API ID |
Obbligatorio L'ID client per l'API CrowdStrike. |
Client API Secret |
Obbligatorio Il client secret per l'API CrowdStrike. |
Verify SSL |
Se selezionata, l'integrazione verifica se il certificato SSL per la connessione al server CrowdStrike Falcon è valido. Non selezionato per impostazione predefinita. |
Customer ID |
Optional L'ID cliente del tenant in cui eseguire l'integrazione. Per l'utilizzo in ambienti multi-tenant (MSSP). |
Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.
Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.
Azioni
Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.
Prima di procedere con la configurazione dell'integrazione, configura le autorizzazioni minime richieste per ogni elemento di integrazione. Per maggiori dettagli, consulta Autorizzazioni per le azioni.
Aggiungi commento all'avviso
Utilizza l'azione Aggiungi commento all'avviso per aggiungere un commento a un avviso in CrowdStrike Falcon.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiungi commento all'avviso richiede i seguenti parametri:
| Parametri | |
|---|---|
Alert |
Obbligatorio L'ID dell'avviso da aggiornare. |
Comment |
Obbligatorio Il commento da aggiungere all'avviso. |
Output azione
L'azione Aggiungi commento all'avviso fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Aggiungi commento all'avviso fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully added comment to the alert with ID
ALERT_ID in CrowdStrike |
Azione riuscita. |
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi commento all'avviso:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Add Comment to Detection - Deprecated
Utilizza l'azione Aggiungi commento al rilevamento per aggiungere un commento al rilevamento in CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
L'azione Aggiungi commento al rilevamento richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Detection ID |
Obbligatorio. L'ID del rilevamento a cui aggiungere un commento. |
Comment |
Obbligatorio. Il commento da aggiungere al rilevamento. |
Output azione
L'azione Aggiungi commento al rilevamento fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Risultato dello script | Disponibile |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi commento al rilevamento:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Aggiungi commento sul rilevamento della protezione dell'identità
Utilizza l'azione Aggiungi commento al rilevamento di Identity Protection per aggiungere un commento al rilevamento di Identity Protection in CrowdStrike.
Questa azione richiede una licenza Identity Protection.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiungi commento di rilevamento di Identity Protection richiede i seguenti parametri:
| Parametri | |
|---|---|
Detection ID |
Obbligatorio
L'ID del rilevamento da aggiornare. |
Comment |
Obbligatorio
Il commento da aggiungere al rilevamento. |
Output azione
L'azione Aggiungi commento di rilevamento di Identity Protection fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Aggiungi commento di rilevamento di Identity Protection fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully added comment to the
identity protection detection with ID
DETECTION_ID in CrowdStrike |
Azione riuscita. |
Error executing action "Add Identity
Protection Detection Comment". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Add Identity
Protection Detection Comment". Reason: identity protection detection with
ID DETECTION_ID wasn't found in
CrowdStrike. Please check the
spelling. |
Azione non riuscita. Controlla l'ortografia. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi commento di rilevamento di Identity Protection:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Aggiungi commento all'incidente - Deprecato
Utilizza l'azione Aggiungi commento all'incidente per aggiungere un commento a un incidente in CrowdStrike.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiungi commento all'incidente richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Incident ID |
Obbligatorio. ID dell'incidente da aggiornare. |
Comment |
Obbligatorio. Il commento da aggiungere all'incidente. |
Output azione
L'azione Aggiungi commento all'incidente fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Aggiungi commento all'incidente fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully added comment to the
incident INCIDENT_ID in CrowdStrike
|
Azione riuscita. |
Error executing action "Add Incident Comment". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Add Incident Comment". Reason: incident
with ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
Azione non riuscita. Controlla l'ortografia. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi commento all'incidente:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Rilevamento di chiusura - Obsoleto
Utilizza l'azione Chiudi rilevamento per chiudere un rilevamento di CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
L'azione Close Detection richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Detection ID |
Obbligatorio. L'ID del rilevamento da chiudere. |
Hide Detection |
Facoltativo. Se selezionata, l'azione nasconde il rilevamento nella UI. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Output azione
L'azione Chiudi rilevamento fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Risultato dello script | Disponibile |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Close Detection:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Isola endpoint
Utilizza l'azione Isola endpoint per isolare l'endpoint in CrowdStrike Falcon.
Questa azione viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
Input azione
L'azione Contieni endpoint richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Fail If Timeout |
Optional
Se questa opzione è selezionata e non tutti gli endpoint sono contenuti, l'azione non riesce. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Output azione
L'azione Isola endpoint fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento delle entità | Disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Enrichment delle entità
L'azione Isola endpoint supporta la seguente logica di arricchimento delle entità:
| Campo di arricchimento | Logica |
|---|---|
status |
Restituisce se esiste nel risultato JSON |
modified_timestamp |
Restituisce se esiste nel risultato JSON |
major_version |
Restituisce se esiste nel risultato JSON |
policies |
Restituisce se esiste nel risultato JSON |
config_id_platform |
Restituisce se esiste nel risultato JSON |
bios_manufacturer |
Restituisce se esiste nel risultato JSON |
system_manufacturer |
Restituisce se esiste nel risultato JSON |
device_policies |
Restituisce se esiste nel risultato JSON |
meta |
Restituisce se esiste nel risultato JSON |
pointer_size |
Restituisce se esiste nel risultato JSON |
last_seen |
Restituisce se esiste nel risultato JSON |
agent_local_time |
Restituisce se esiste nel risultato JSON |
first_seen |
Restituisce se esiste nel risultato JSON |
service_pack_major |
Restituisce se esiste nel risultato JSON |
slow_changing_modified_timestamp |
Restituisce se esiste nel risultato JSON |
service_pack_minor |
Restituisce se esiste nel risultato JSON |
system_product_name |
Restituisce se esiste nel risultato JSON |
product_type_desc |
Restituisce se esiste nel risultato JSON |
build_number |
Restituisce se esiste nel risultato JSON |
cid |
Restituisce se esiste nel risultato JSON |
local_ip |
Restituisce se esiste nel risultato JSON |
external_ip |
Restituisce se esiste nel risultato JSON |
hostname |
Restituisce se esiste nel risultato JSON |
config_id_build |
Restituisce se esiste nel risultato JSON |
minor_version |
Restituisce se esiste nel risultato JSON |
platform_id |
Restituisce se esiste nel risultato JSON |
os_version |
Restituisce se esiste nel risultato JSON |
config_id_base |
Restituisce se esiste nel risultato JSON |
provision_status |
Restituisce se esiste nel risultato JSON |
mac_address |
Restituisce se esiste nel risultato JSON |
bios_version |
Restituisce se esiste nel risultato JSON |
platform_name |
Restituisce se esiste nel risultato JSON |
agent_load_flags |
Restituisce se esiste nel risultato JSON |
device_id |
Restituisce se esiste nel risultato JSON |
product_type |
Restituisce se esiste nel risultato JSON |
agent_version |
Restituisce se esiste nel risultato JSON |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Contieni endpoint:
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6",
"policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "3",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": ""
},
"prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{
"Version":"12765"
},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name": "Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "123456789abcdef123456789abcdef12",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "",
"config_id_build": "example-id",
"minor_version": "3",
"platform_id": "x",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-config",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"Agent_load_flags":"1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
Messaggi di output
L'azione Isola endpoint fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Contain
Endpoint". Reason: ERROR_REASON
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Contain
Endpoint". Reason: the following endpoints initiated containment, but were
not able to finish it during action execution:
ENTITY_ID
|
Azione non riuscita. Controlla lo stato dell'endpoint e il valore parametro |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Contieni endpoint:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Elimina IOC
Utilizza l'azione Elimina IOC per eliminare gli IOC personalizzati in CrowdStrike Falcon.
Questa azione tratta le entità del nome host come IOC del dominio ed estrae la parte del dominio dagli URL. Questa azione supporta solo gli hash MD5 e SHA-256.
L'azione Elimina IOC viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
- URL
- Hash
Input azione
Nessuno.
Output azione
L'azione Elimina IOC fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elimina IOC:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Messaggi di output
In una bacheca delle richieste, l'azione Elimina IOC fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Delete IOC".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Scarica file
Utilizza l'azione Scarica file per scaricare i file dagli host in CrowdStrike Falcon.
Questa azione richiede che l'entità Nome file e Indirizzo IP o Nome host rientri nell'ambito dell'avviso di Google SecOps.
Puoi trovare il file scaricato in un pacchetto ZIP protetto da password. Per accedere
al file, fornisci la seguente password: infected.
L'azione Scarica file viene eseguita sulle seguenti entità:
- Nome file
- Indirizzo IP
- Host
Input azione
L'azione Scarica file richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Download Folder Path |
Obbligatorio
Il percorso della cartella in cui è archiviato il file scaricato. Il formato dipende dal deployment:
|
Overwrite |
Obbligatorio
Se selezionata, l'azione sovrascrive il file con lo stesso nome. Non selezionato per impostazione predefinita. |
Output azione
L'azione Scarica file fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella entità | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella entità
L'azione Scarica file fornisce la seguente tabella di entità:
| Entità | |
|---|---|
filepath |
Percorso assoluto del file. |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Scarica file:
{
"absolute_paths": ["/opt/file_1", "opt_file_2"]
}
Messaggi di output
L'azione Scarica file fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Download
File". Reason: ERROR_REASON
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Download
File". Reason: file with path PATH
already exists. Please delete the file or set "Overwrite" to true.
|
Azione non riuscita. Controlla il valore del parametro |
Waiting for results for the following
entities: ENTITY_ID |
Messaggio asincrono. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Scarica file:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Esegui comando
Utilizza l'azione Esegui comando per eseguire comandi sugli host in CrowdStrike Falcon.
Questa azione viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
Input azione
L'azione Esegui comando richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Command |
Obbligatorio
Specifica il comando da eseguire sugli host. |
Admin Command |
Optional
Se selezionata, l'azione esegue i comandi con autorizzazioni amministrative. Questa operazione è obbligatoria per comandi specifici come Non selezionato per impostazione predefinita. |
Hostname |
Optional
Elenco separato da virgole dei nomi host su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Queue Offline |
Optional
Se selezioni questa opzione, i comandi che hanno come target gli host offline vengono messi in coda ed eseguiti una volta che l'host si riconnette alla rete. Non selezionato per impostazione predefinita. |
Output azione
L'azione Esegui comando fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
In una bacheca delle richieste, l'azione Esegui comando fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully executed command
"COMMAND" on the following
endpoints in CrowdStrike Falcon:
ENTITY_ID |
Azione riuscita. |
Error executing action "Execute Command". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Waiting for results for the following
entities: ENTITY_ID |
Messaggio asincrono. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Esegui comando:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Visualizza i dettagli dell'avviso
Utilizza l'azione Get Alert Details per recuperare i dettagli di un avviso in CrowdStrike Falcon.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Get Alert Details richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Alert ID |
Obbligatorio. L'ID univoco dell'avviso da cui recuperare i dettagli. |
Output azione
L'azione Get Alert Details fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Recupera dettagli avviso:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"assigned_to_uid": "analyst@example.com",
"cid": "CID_VALUE",
"composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"EDGE_ID_1_OBFUSCATED_STRING",
"EDGE_ID_2_OBFUSCATED_STRING",
"EDGE_ID_3_OBFUSCATED_STRING"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"idpind:CID_VALUE:IDP_DETECTION_ID",
"ind:CID_VALUE:DETECTION_ID",
"uid:CID_VALUE:SOURCE_SID_VALUE"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
"id": "ind:CID_VALUE:DETECTION_ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.LOCAL",
"source_account_name": "TEST_MAILBOX",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Messaggi di output
L'azione Get Alert Details può restituire i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Get Alert Details". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Get Alert Details:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Recupera l'offset dell'evento
Utilizza l'azione Recupera offset evento per recuperare l'offset evento utilizzato dal connettore di eventi di streaming.
Questa azione avvia l'elaborazione degli eventi a partire da 30 giorni fa.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Recupera offset evento richiede i seguenti parametri:
| Parametri | |
|---|---|
Max Events To Process |
Obbligatorio
Il numero di eventi che l'azione deve elaborare a partire da 30 giorni fa. Il valore predefinito è |
Output azione
L'azione Get Event Offset fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera offset evento:
{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
Messaggi di output
L'azione Get Event Offset fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully retrieved event offset in CrowdStrike Falcon.
|
Azione riuscita. |
Error executing action "Get Event
Offset". Reason: ERROR_REASON
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Recupera offset evento:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Ottieni informazioni sull'host
Utilizza l'azione Get Host Information per recuperare le informazioni sul nome host da CrowdStrike Falcon.
Questa azione viene eseguita sulle seguenti entità:
- Nome host
- Indirizzo IP
Input azione
L'azione Get Host Information richiede i seguenti parametri:
| Parametri | |
|---|---|
Hostname |
Optional
Un elenco separato da virgole di nomi host da nascondere in CrowdStrike Falcon. L'azione elabora sia i valori di input forniti in questo parametro sia le entità Nome host e indirizzo IP associate al caso. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Customer ID |
Optional
L'ID cliente CrowdStrike (CID) univoco utilizzato per scegliere come target un tenant specifico. Questo parametro è obbligatorio negli ambienti Falcon Flight Control o multi-tenant per eseguire l'azione su un CID secondario specifico. |
Output azione
L'azione Get Host Information fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento delle entità | Disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Enrichment delle entità
L'azione Get Host Information supporta la seguente logica di arricchimento delle entità:
| Campo di arricchimento | Logica |
|---|---|
modified_timestamp |
Restituisce se esiste nel risultato JSON |
major_version |
Restituisce se esiste nel risultato JSON |
site_name |
Restituisce se esiste nel risultato JSON |
platform_id |
Restituisce se esiste nel risultato JSON |
config_id_platform |
Restituisce se esiste nel risultato JSON |
system_manufacturer |
Restituisce se esiste nel risultato JSON |
meta |
Restituisce se esiste nel risultato JSON |
first_seen |
Restituisce se esiste nel risultato JSON |
service_pack_minor |
Restituisce se esiste nel risultato JSON |
product_type_desc |
Restituisce se esiste nel risultato JSON |
build_number |
Restituisce se esiste nel risultato JSON |
hostname |
Restituisce se esiste nel risultato JSON |
config_id_build |
Restituisce se esiste nel risultato JSON |
minor_version |
Restituisce se esiste nel risultato JSON |
os_version |
Restituisce se esiste nel risultato JSON |
provision_status |
Restituisce se esiste nel risultato JSON |
mac_address |
Restituisce se esiste nel risultato JSON |
bios_version |
Restituisce se esiste nel risultato JSON |
agent_load_flags |
Restituisce se esiste nel risultato JSON |
status |
Restituisce se esiste nel risultato JSON |
bios_manufacturer |
Restituisce se esiste nel risultato JSON |
machine_domain |
Restituisce se esiste nel risultato JSON |
agent_local_time |
Restituisce se esiste nel risultato JSON |
slow_changing_modified_timestamp |
Restituisce se esiste nel risultato JSON |
service_pack_major |
Restituisce se esiste nel risultato JSON |
device_id |
Restituisce se esiste nel risultato JSON |
system_product_name |
Restituisce se esiste nel risultato JSON |
product_type |
Restituisce se esiste nel risultato JSON |
local_ip |
Restituisce se esiste nel risultato JSON |
external_ip |
Restituisce se esiste nel risultato JSON |
cid |
Restituisce se esiste nel risultato JSON |
platform_name |
Restituisce se esiste nel risultato JSON |
config_id_base |
Restituisce se esiste nel risultato JSON |
last_seen |
Restituisce se esiste nel risultato JSON |
pointer_size |
Restituisce se esiste nel risultato JSON |
agent_version |
Restituisce se esiste nel risultato JSON |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera informazioni sull'host:
[
{
"EntityResult": [
{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Default-First-Site-Name",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {
"version": "1111"
},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "111",
"hostname": "name",
"config_id_build": "8104",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "64-00-6a-2a-43-3f",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Domain name",
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0",
"device_id": "example-id",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "example-cid",
"platform_name": "Windows",
"config_id_base": "65994753",
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0",
"recent_logins": [
{
"user_name": "test",
"login_time": "2022-08-10T07:36:38Z"
},
{
"user_name": "test",
"login_time": "2022-08-10T07:36:35Z"
}
],
"online_status": "offline"
}
],
"Entity": "198.51.100.255"
}
]
Messaggi di output
L'azione Get Host Information fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Get Host
Information". Reason: ERROR_REASON
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Recupera informazioni sull'host:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Ottieni host per IOC - Ritirato
Elenca gli host correlati agli IOC in CrowdStrike Falcon. Entità supportate: nome host, URL, indirizzo IP e hash.
Nota: le entità del nome host vengono trattate come IOC del dominio. L'azione estrae la parte del dominio dagli URL. Sono supportati solo gli hash MD5 e SHA-256.
Entità
Questa azione viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
- URL
- Hash
Input azione
N/D
Output azione
Risultato script
| Nome del risultato dello script | Opzioni del valore | Esempio |
|---|---|---|
| is_success | Vero/Falso | is_success:False |
Risultato JSON
{
"hash":
[{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Example-Name",
"platform_id": "ExampleID",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {"version": "49622"},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "14393",
"hostname": "name",
"config_id_build": "ExampleID",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Example Domain",
"Device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2018-12-11T23: 09: 18.071417837Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2018-12-11T23: 08: 38.16990705Z",
"policy_id": "Example ID"
}
},
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "123456789abcdef123456789abcdef12",
"platform_name": "Windows",
"config_id_base": "ExampleID",
"policies":
[{
"applied": true,
"applied_date": "2019-01-02T22: 45: 21.315392338Z",
"settings_hash": "18db1203",
"policy_type": "prevention",
"assigned_date": "2019-01-02T22: 45: 11.214774996Z",
"policy_id": "Example ID"
}],
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0"
}]
}
Enrichment delle entità
| Campo di arricchimento | Logica |
|---|---|
| modified_timestamp | Restituisce se esiste nel risultato JSON |
| major_version | Restituisce se esiste nel risultato JSON |
| site_name | Restituisce se esiste nel risultato JSON |
| platform_id | Restituisce se esiste nel risultato JSON |
| config_id_platform | Restituisce se esiste nel risultato JSON |
| system_manufacturer | Restituisce se esiste nel risultato JSON |
| meta | Restituisce se esiste nel risultato JSON |
| first_seen | Restituisce se esiste nel risultato JSON |
| service_pack_minor | Restituisce se esiste nel risultato JSON |
| product_type_desc | Restituisce se esiste nel risultato JSON |
| build_number | Restituisce se esiste nel risultato JSON |
| nome host | Restituisce se esiste nel risultato JSON |
| config_id_build | Restituisce se esiste nel risultato JSON |
| minor_version | Restituisce se esiste nel risultato JSON |
| os_version | Restituisce se esiste nel risultato JSON |
| provision_status | Restituisce se esiste nel risultato JSON |
| mac_address | Restituisce se esiste nel risultato JSON |
| bios_version | Restituisce se esiste nel risultato JSON |
| agent_load_flags | Restituisce se esiste nel risultato JSON |
| stato | Restituisce se esiste nel risultato JSON |
| bios_manufacturer | Restituisce se esiste nel risultato JSON |
| machine_domain | Restituisce se esiste nel risultato JSON |
| Device_policies | Restituisce se esiste nel risultato JSON |
| agent_local_time | Restituisce se esiste nel risultato JSON |
| slow_changing_modified_timestamp | Restituisce se esiste nel risultato JSON |
| service_pack_major | Restituisce se esiste nel risultato JSON |
| system_product_name | Restituisce se esiste nel risultato JSON |
| product_type | Restituisce se esiste nel risultato JSON |
| local_ip | Restituisce se esiste nel risultato JSON |
| external_ip | Restituisce se esiste nel risultato JSON |
| cid | Restituisce se esiste nel risultato JSON |
| platform_name | Restituisce se esiste nel risultato JSON |
| config_id_base | Restituisce se esiste nel risultato JSON |
| policy | Restituisce se esiste nel risultato JSON |
| last_seen | Restituisce se esiste nel risultato JSON |
| pointer_size | Restituisce se esiste nel risultato JSON |
| agent_version | Restituisce se esiste nel risultato JSON |
Insight sull'entità
N/D
Bacheca casi
| Tipo di risultato | Valore/Descrizione | Tipo |
|---|---|---|
| Messaggio di output* | L'azione non deve fallire né interrompere l'esecuzione di un playbook: Se l'operazione va a buon fine e viene trovato almeno un host correlato agli IOC forniti (is_success=true): "Host correlati agli IOC forniti recuperati correttamente in CrowdStrike Falcon." Se non vengono trovati host correlati (is_success=false): "Nessun host è stato correlato agli IOC forniti in CrowdStrike Falcon". L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook: Se viene segnalato un errore critico: "Errore durante l'esecuzione dell'azione "{action name}". Motivo: {traceback}." |
Generale |
Recupera il nome del processo per IOC - Deprecato
Recupera i processi correlati agli IOC e ai dispositivi forniti in CrowdStrike Falcon. Entità supportate: nome host, URL, indirizzo IP e hash.
Nota: le entità del nome host vengono trattate come IOC del dominio. L'azione estrae la parte del dominio dagli URL. Sono supportati solo gli hash MD5, SHA-1 e SHA-256. Le entità Indirizzo IP vengono trattate come IOC.
Parametri
| Nome parametro | Tipo | Valore predefinito | Obbligatorio | Descrizione |
|---|---|---|---|---|
| Nomi dei dispositivi | 11 | N/D | Sì | Specifica un elenco separato da virgole di dispositivi per i quali vuoi recuperare i processi correlati alle entità. |
Esegui il
Questa azione viene eseguita sulle seguenti entità:
- Nome host
- URL
- Hash
Risultati dell'azione
Risultato script
| Nome del risultato dello script | Opzioni del valore | Esempio |
|---|---|---|
| is_success | Vero/Falso | is_success:False |
Risultato JSON
{
"EntityResult":
[{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
}],
"Entity": "example_entity"
}
Arricchimento delle entità
| Nome del campo di arricchimento | Logica: quando applicarle |
|---|---|
| Nome processo | Restituisce se esiste nel risultato JSON |
| Indicatore | Restituisce se esiste nel risultato JSON |
| Nome host | Restituisce se esiste nel risultato JSON |
Insight sulle entità
N/D
Bacheca casi
| Tipo di risultato | Valore/Descrizione | Tipo |
|---|---|---|
| Messaggio di output* | L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook: Se sono stati trovati processi correlati alle entità per almeno un endpoint (is_success=true): "Recupero dei processi correlati agli IOC sui seguenti endpoint in CrowdStrike Falcon riuscito: {device name}." Se non vengono trovati processi per almeno un endpoint o se il dispositivo non viene trovato (is_success=true): "Non sono stati trovati processi correlati sui seguenti endpoint in CrowdStrike Falcon: {device name}." Se non vengono trovati processi per tutti gli endpoint o non viene trovato nessuno dei dispositivi (is_success=false): "Non sono stati trovati processi correlati sugli endpoint forniti in CrowdStrike Falcon. L'azione non dovrebbe riuscire e dovrebbe interrompere l'esecuzione di un playbook: Se viene segnalato un errore critico: "Errore durante l'esecuzione di "{action name}". Motivo: {trace back}." |
Nascondi host
Utilizza l'azione Nascondi host per nascondere uno o più host dalla console CrowdStrike Falcon.
Questa azione viene eseguita sulle seguenti entità Google SecOps:
- Nome host
- Indirizzo IP
Input azione
L'azione Hide Hosts richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Hostname |
Facoltativo. Un elenco separato da virgole di nomi host da nascondere in CrowdStrike Falcon. L'azione elabora sia i valori di input forniti in questo parametro sia le entità |
Customer ID |
Facoltativo. L'ID cliente CrowdStrike (CID) univoco utilizzato per scegliere come target un tenant specifico. Questo parametro è obbligatorio negli ambienti Falcon Flight Control o multi-tenant per eseguire l'azione su un CID secondario specifico. |
Output azione
L'azione Hide Hosts fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento delle entità | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Nascondi host fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Hide Host". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Nascondi host:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Endpoint Lift Contained
Utilizza l'azione Lift Contained Endpoint (Annulla contenimento endpoint) per annullare il contenimento di un endpoint in CrowdStrike Falcon.
Questa azione viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
Input azione
L'azione Lift Contained Endpoint richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Fail If Timeout |
Optional
Se questa opzione è selezionata e il contenimento non è stato rimosso su tutti gli endpoint, l'azione non va a buon fine. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Output azione
L'azione Lift Contained Endpoint fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento delle entità | Disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Enrichment delle entità
L'azione Lift Contained Endpoint supporta il seguente arricchimento delle entità:
| Campo di arricchimento | Logica |
|---|---|
status |
Restituisce se esiste nel risultato JSON |
modified_timestamp |
Restituisce se esiste nel risultato JSON |
major_version |
Restituisce se esiste nel risultato JSON |
config_id_platform |
Restituisce se esiste nel risultato JSON |
system_manufacturer |
Restituisce se esiste nel risultato JSON |
device_policies |
Restituisce se esiste nel risultato JSON |
meta |
Restituisce se esiste nel risultato JSON |
pointer_size |
Restituisce se esiste nel risultato JSON |
last_seen |
Restituisce se esiste nel risultato JSON |
agent_local_time |
Restituisce se esiste nel risultato JSON |
first_seen |
Restituisce se esiste nel risultato JSON |
service_pack_major |
Restituisce se esiste nel risultato JSON |
slow_changing_modified_timestamp |
Restituisce se esiste nel risultato JSON |
service_pack_minor |
Restituisce se esiste nel risultato JSON |
system_product_name |
Restituisce se esiste nel risultato JSON |
product_type_desc |
Restituisce se esiste nel risultato JSON |
build_number |
Restituisce se esiste nel risultato JSON |
cid |
Restituisce se esiste nel risultato JSON |
local_ip |
Restituisce se esiste nel risultato JSON |
external_ip |
Restituisce se esiste nel risultato JSON |
hostname |
Restituisce se esiste nel risultato JSON |
config_id_build |
Restituisce se esiste nel risultato JSON |
minor_version |
Restituisce se esiste nel risultato JSON |
platform_id |
Restituisce se esiste nel risultato JSON |
os_version |
Restituisce se esiste nel risultato JSON |
config_id_base |
Restituisce se esiste nel risultato JSON |
provision_status |
Restituisce se esiste nel risultato JSON |
mac_address |
Restituisce se esiste nel risultato JSON |
bios_version |
Restituisce se esiste nel risultato JSON |
platform_name |
Restituisce se esiste nel risultato JSON |
agent_load_flags |
Restituisce se esiste nel risultato JSON |
device_id |
Restituisce se esiste nel risultato JSON |
product_type |
Restituisce se esiste nel risultato JSON |
agent_version |
Restituisce se esiste nel risultato JSON |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Lift Contained Endpoint:
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6", "policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "example-id",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"Device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"Remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{"version": "12765"},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name":"Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "example-hostname",
"config_id_build": "9106",
"minor_version": "3",
"platform_id": "0",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-id",
"provision_status": "Provisioned",
"mac_address": "01-23-45-ab-cd-ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"agent_load_flags": "1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
Messaggi di output
L'azione Lift Contained Endpoint fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Waiting for containment lift to finish for the following
endpoints: ENTITY_ID |
Messaggio asincrono. |
Error executing action "Lift
Contained Endpoint". Reason: the following endpoints initiated containment
lift, but were not able to finish it during action execution:
ENTITY_ID |
Azione non riuscita. Controlla lo stato dell'endpoint e il valore parametro |
Error executing action "Lift Contained Endpoint". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Lift Contained Endpoint:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Elenca le vulnerabilità dell'host
Utilizza l'azione Elenca vulnerabilità host per elencare le vulnerabilità rilevate sull'host in CrowdStrike Falcon.
Questa azione richiede una licenza e le autorizzazioni di Falcon Spotlight.
Questa azione viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
Input azione
L'azione Elenca vulnerabilità host richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Severity Filter |
Optional
Specifica un elenco separato da virgole di gravità per le vulnerabilità. Se non viene fornito alcun valore, l'azione importa tutte le vulnerabilità correlate. Valori possibili: |
Create Insight |
Optional
Se selezionata, l'azione crea un insight per entità contenente informazioni statistiche sulle vulnerabilità correlate. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Max Vulnerabilities To Return |
Optional
Specifica il numero di vulnerabilità da restituire per host. Se non viene fornito alcun valore, l'azione elabora tutte le vulnerabilità correlate. Il valore predefinito è |
Output azione
L'azione Elenca vulnerabilità host fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
In una bacheca delle richieste, l'azione Elenca vulnerabilità host fornisce la seguente tabella:
Tipo: entità
Colonne:
- Nome
- Punteggio
- Gravità
- Stato
- App
- Ha una correzione
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca le vulnerabilità dell'host:
{
"statistics": {
"total": 123,
"severity": {
"critical": 1,
"high": 1,
"medium": 1,
"low": 1,
"unknown": 1
},
"status": {
"open": 1,
"reopened": 1
},
"has_remediation": 1
},
"details": [
{
"id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
"cid": "123456789abcdef123456789abcdef12",
"aid": "74089e36ac3a4271ab14abc076ed18eb",
"created_timestamp": "2021-05-12T22:45:47Z",
"updated_timestamp": "2021-05-12T22:45:47Z",
"status": "open",
"cve": {
"id": "CVE-2021-28476",
"base_score": 9.9,
"severity": "CRITICAL",
"exploit_status": 0
},
"app": {
"product_name_version": "Example 01"
},
"apps": [
{
"product_name_version": "Example 01",
"sub_status": "open",
"remediation": {
"ids": [
"acc34cd461023ff8a966420fa8839365"
]
}
}
],
"host_info": {
"hostname": "example-hostname",
"local_ip": "192.0.2.1",
"machine_domain": "",
"os_version": "Windows 10",
"ou": "",
"site_name": "",
"system_manufacturer": "Example Inc.",
"groups": [],
"tags": [],
"platform": "Windows"
},
"remediation": [
{
"id": "acc34cd461023ff8a966420fa8839365",
"reference": "KB5003169",
"title": "Update Microsoft Windows 10 1909",
"action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
"link": "https://example.com/ABCDEF"
}
]
}
]
}
Messaggi di output
L'azione Elenca vulnerabilità host fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "List Host Vulnerabilities". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "List Host
Vulnerabilities". Reason: Invalid value provided in the Severity Filter
parameter. Possible values: Critical, High, Medium, Low, Unknown.
|
Azione non riuscita. Controlla il valore parametro |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca vulnerabilità host:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Elenca host
Utilizza l'azione Elenca host per elencare gli host disponibili in CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
L'azione Elenca host richiede i seguenti parametri:
| Parametri | |
|---|---|
Filter Logic |
Optional
Una logica da utilizzare per la ricerca degli host. Il valore predefinito è
|
Filter Value |
Optional
Un valore da utilizzare per il filtro degli host. |
Max Hosts To Return |
Optional
Il numero di host da restituire. Il valore predefinito è Il valore massimo è |
Output azione
L'azione Elenca host fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Elenca host:
[{
"modified_timestamp": "2019-05-15T15:03:12Z",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "Example Corporation",
"meta": {"version": "4067"},
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_minor": "0",
"product_type_desc": "Server",
"build_number": "9600",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "3",
"os_version": "Windows Server 2012 R2",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"device_policies":
{
"Sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:05:09.577000651Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:03:36.804382667Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.896362608Z",
"assigned_date": "2019-04-29T07:39:55.218637999Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-04-29T07:45:18.94807838Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-04-29T07:45:08.165941325Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-02T22:05:00.015Z",
"slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
"service_pack_major": "0",
"device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
"system_product_name": "Virtual Machine",
"product_type": "3",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "6",
"platform_name": "Windows",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-15T15:01:23Z"
},
{
"modified_timestamp": "2019-05-13T07:24:36Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Example Inc.",
"meta": {"version": "14706"},
"first_seen": "2018-04-17T11:02:20Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.6.5",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-05T12:52:23.121596885Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-05T12:51:37.544605747Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Remote_response":
{
"applied": true,
"applied_date": "2019-02-10T07:57:59.064362539Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-10T07:57:50.610924385Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-25T15:01:28.51681072Z",
"assigned_date": "2019-03-25T15:00:22.442519168Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"Prevention":
{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-10T07:57:53.70275875Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-10T07:57:50.610917888Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-05T15:52:08.172Z",
"slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
"service_pack_major": "0",
"device_id": "cb4493e4af2742b068efd16cb48b7260",
"system_product_name": "example-name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-13T07:21:30Z"
},
{
"modified_timestamp": "2019-05-09T14:22:50Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Dell Inc.",
"meta": {"version": "77747"},
"first_seen": "2018-07-01T12:19:23Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname":"example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:10:50.336101107Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:10:50.336100731Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-02-08T02:46:31.919442939Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-08T02:46:22.219718098Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-24T16:43:31.777981725Z",
"assigned_date": "2019-03-24T16:42:21.395540493Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-08T01:14:14.810607774Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-08T01:14:05.585922067Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-03T01:10:29.340Z",
"slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
"service_pack_major": "0",
"device_id": "1c2f1a7f88f8457f532f1c615f07617b",
"system_product_name": "Example Name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-09T14:20:53Z"
}]
Messaggi di output
L'azione Elenca host fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "List Hosts".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca host:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Elenca gli IOC caricati
Utilizza l'azione Elenca gli IOC caricati per elencare gli IOC personalizzati disponibili in CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
L'azione Elenca gli IOC caricati richiede i seguenti parametri:
| Parametri | |
|---|---|
IOC Type Filter |
Optional
Un elenco separato da virgole di tipi di IOC da restituire. Il valore predefinito è
|
Value Filter Logic |
Optional
Un valore della logica di filtro. Il valore predefinito è
Se è impostato |
Value Filter String |
Optional
Una stringa da cercare tra gli IOC. |
Max IOCs To Return |
Optional
Il numero di IOC da restituire. Il valore predefinito è Il valore massimo è 500. |
Output azione
L'azione Elenca gli IOC caricati fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
In una bacheca delle richieste, l'azione Elenca gli IOC caricati fornisce la seguente tabella:
Colonne:
- Azione
- Gravità
- Firmata
- Hit AV
- Piattaforme
- Tag
- Data/ora di creazione:
- Creato da
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Elenca gli IOC caricati:
{
"id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
"type": "sha256",
"value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
"action": "no_action",
"severity": "",
"metadata": {
"signed": false,
"av_hits": -1
},
"platforms": [
"windows"
],
"tags": [
"Hashes 22.Nov.20 15:29 (Windows)"
],
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-04-22T03:54:09.235120463Z",
"modified_by": "internal@example.com"
}
Messaggi di output
L'azione Elenca gli IOC caricati fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully found custom IOCs for the provided criteria in
CrowdStrike Falcon. |
Azione riuscita. |
Error executing action "List Uploaded IOCs". Reason:
ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "List Uploaded IOCs". Reason: "IOC Type
Filter" contains an invalid value. Please check the spelling. Possible
values: ipv4, ipv6, md5, sha1, sha256, domain. |
Azione non riuscita. Controlla l'ortografia e il valore parametro |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca gli IOC caricati:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Scansione on demand
Utilizza l'azione On-Demand Scan (Scansione on demand) per eseguire la scansione dell'endpoint on demand in CrowdStrike.
Questa azione viene eseguita solo su host Windows e sulle seguenti entità:
- Indirizzo IP
- Nome host
L'azione Analisi on demand viene eseguita in modo asincrono. Se necessario, modifica il valore di timeout dello script nell'IDE di Google SecOps.
Input azione
L'azione On-Demand Scan richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
File Paths To Scan |
Obbligatorio
Elenco separato da virgole dei percorsi da analizzare. Il valore predefinito è |
File Paths To Exclude From Scan |
Optional
Elenco di percorsi separati da virgole da escludere dalla scansione. |
Host Group Name |
Optional
Elenco separato da virgole di nomi di gruppi di host per cui avviare la scansione. Nota: viene creato un processo di scansione separato per ogni gruppo di host. |
Scan Description |
Optional
Descrizione dell'analisi. Se non viene fornito alcun valore, l'azione imposta la descrizione su |
CPU Priority |
Optional
La quantità di CPU da utilizzare per l'host sottostante durante l'analisi. Valori possibili: Il valore predefinito è |
Sensor Anti-malware Detection Level |
Optional
Specifica il livello di rilevamento antimalware del sensore. Nota: il livello di rilevamento deve essere uguale o superiore al livello di prevenzione. Valori possibili: Il valore predefinito è |
Sensor Anti-malware Prevention Level |
Optional
Specifica il livello di prevenzione antimalware del sensore. Nota: il livello di rilevamento deve essere uguale o superiore al livello di prevenzione. Valori possibili: Il valore predefinito è |
Cloud Anti-malware Detection Level |
Optional
Specifica il livello di rilevamento antimalware nel cloud. Nota: il livello di rilevamento deve essere uguale o superiore al livello di prevenzione. Valori possibili: Il valore predefinito è |
Cloud Anti-malware Prevention Level |
Optional
Specifica il livello di prevenzione antimalware nel cloud. Nota: il livello di rilevamento deve essere uguale o superiore al livello di prevenzione. Valori possibili: Il valore predefinito è |
Quarantine Hosts |
Optional
Se questa opzione è selezionata, gli host sottostanti vengono messi in quarantena durante la scansione. Non selezionato per impostazione predefinita. |
Create Endpoint Notification |
Optional
Se selezionata, la procedura di scansione crea una notifica endpoint. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Max Scan Duration |
Optional
Numero di ore di esecuzione di un'analisi. Se non viene fornito alcun valore, l'analisi viene eseguita continuamente. Il valore predefinito è |
Hostname |
Optional
Elenco separato da virgole dei nomi host su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Output azione
L'azione On-Demand Scan fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione On-Demand Scan:
{
"id": "ID",
"cid": "123456789abcdef123456789abcdef12",
"profile_id": "c94149b9a52d4c76b027e63a88dcc710",
"description": "test APIS ",
"file_paths": [
"C:\\Windows"
],
"initiated_from": "falcon_adhoc",
"quarantine": true,
"cpu_priority": 1,
"preemption_priority": 1,
"metadata": [
{
"host_id": "HOST_ID",
"host_scan_id": "909262bd2fff664282a46464d8625a62",
"scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"status": "completed",
"started_on": "2024-02-05T13:55:45.25066635Z",
"completed_on": "2024-02-05T14:11:18.092427363Z",
"last_updated": "2024-02-05T14:11:18.092431457Z"
}
],
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"targeted_host_count": 1,
"completed_host_count": 1,
"status": "completed",
"hosts": [
"86db81f390394cb080417a1ffb7d46fd"
],
"endpoint_notification": true,
"pause_duration": 2,
"max_duration": 1,
"max_file_size": 60,
"sensor_ml_level_detection": 2,
"sensor_ml_level_prevention": 2,
"cloud_ml_level_detection": 2,
"cloud_ml_level_prevention": 2,
"policy_setting": [
26439818674573,
],
"scan_started_on": "2024-02-05T13:55:45.25Z",
"scan_completed_on": "2024-02-05T14:11:18.092Z",
"created_on": "2024-02-05T13:55:43.436807525Z",
"created_by": "88f5d9e8284f4b85b92dab2389cb349d",
"last_updated": "2024-02-05T14:14:18.776620391Z"
}
Messaggi di output
L'azione On-Demand Scan fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione On-Demand Scan:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Dindin
Utilizza l'azione Ping per testare la connettività a CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
Nessuno.
Output azione
L'azione Ping fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Risultato dello script | Disponibile |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Ping:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Esegui script
Utilizza l'azione Esegui script per eseguire uno script PowerShell sugli endpoint in CrowdStrike.
Questa azione è asincrona. Se necessario, modifica il valore di timeout dello script nell'IDE di Google SecOps.
Questa azione viene eseguita sulle entità Indirizzo IP e Nome host.
Input azione
L'azione Esegui script richiede i seguenti parametri:
| Parametri | |
|---|---|
Customer ID |
Optional
Specifica l'ID del cliente per cui vuoi eseguire l'azione. |
Script Name |
Optional
Il nome del file di script da eseguire. Nota: è necessario fornire |
Raw Script |
Optional
Payload dello script PowerShell non elaborato che deve essere eseguito sugli endpoint. Nota: è necessario fornire |
Hostname |
Optional
Elenco separato da virgole dei nomi host su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Device ID |
Optional
Elenco separato da virgole di ID dispositivo su cui vuoi eseguire l'azione. Nota: l'azione viene eseguita sia sulle entità associate alla richiesta sia su questi valori parametro. |
Queue Offline |
Optional
Se selezioni questa opzione, i comandi che hanno come target gli host offline vengono messi in coda ed eseguiti una volta che l'host si riconnette alla rete. Non selezionato per impostazione predefinita. |
Output azione
L'azione Esegui script fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
In una bacheca richieste, l'azione Esegui script fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Esegui script:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Cerca eventi
Utilizza l'azione Cerca eventi per eseguire query di ricerca di eventi asincrone nei repository CrowdStrike Falcon SIEM di nuova generazione (LogScale).
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Cerca eventi richiede i seguenti parametri:
| Parametri | |
|---|---|
Repository |
Obbligatorio
Un repository in cui eseguire la ricerca. I valori possibili sono:
Il valore predefinito è |
Query |
Obbligatorio
Una query da eseguire in CrowdStrike. |
Time Frame |
Optional
Il periodo di tempo per i risultati. Se selezioni I valori possibili sono:
Il valore predefinito è |
Start Time |
Optional
L'ora di inizio dei risultati in formato ISO 8601. Se |
End Time |
Optional
L'ora di fine dei risultati in formato ISO 8601. Se non viene fornito alcun valore e |
Max Results To Return |
Optional
Il numero massimo di risultati da restituire per la query. Il valore massimo è Il valore predefinito è |
Output azione
L'azione Cerca eventi fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
In una bacheca casi, l'azione Cerca eventi fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
|
L'azione non deve avere esito negativo o interrompere l'esecuzione di un playbook. |
|
|
Azione non riuscita. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Cerca eventi:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Invia file
Utilizza l'azione Invia file per inviare file a una sandbox in CrowdStrike.
Questa azione richiede una licenza Falcon Sandbox.
Questa azione non viene eseguita sulle entità Google SecOps.
Formati di file e archivi supportati
Secondo il portale CrowdStrike, la sandbox supporta i seguenti formati file:
| Formati file supportati | |
|---|---|
.exe, .scr, .pif,
.dll, .com, .cpl |
Eseguibili portatili |
.doc, .docx, .ppt,
.pps, .pptx, .ppsx,
.xls, .xlsx, .rtf,
.pub |
Documenti Office |
.pdf |
|
.apk |
APK |
.jar |
JAR eseguibile |
.sct |
Componente di script Windows |
.lnk |
Scorciatoia di Windows |
.chm |
Guida di Windows |
.hta |
Applicazione HTML |
.wsf |
File di script Windows |
.js |
JavaScript |
.vbs, .vbe |
Visual Basic |
.swf |
Shockwave Flash |
.pl |
Perl |
.ps1, .psd1, .psm1 |
Powershell |
.svg |
Grafica vettoriale scalabile |
.py |
Python |
.elf |
File eseguibili ELF di Linux |
.eml |
File email: MIME RFC 822 |
.msg |
Inviare file via email: Outlook |
Secondo il portale CrowdStrike, la sandbox supporta i seguenti formati di archivio:
.zip.7z
Input azione
L'azione Invia file richiede i seguenti parametri:
| Parametri | |
|---|---|
File Paths |
Obbligatorio
Un elenco di percorsi assoluti dei file inviati. Il formato dipende dal deployment:
Per un elenco dei formati file supportati, consulta Formati file e archivio supportati. |
Sandbox Environment |
Optional
Un ambiente sandbox da analizzare. Il valore predefinito è
|
Network Environment |
Optional
Un ambiente di rete da analizzare. Il valore predefinito è
|
Archive Password |
Optional
Una password da utilizzare quando si lavora con i file di archivio. |
Document Password |
Optional
Una password da utilizzare quando si lavora con file Adobe o Office. La lunghezza massima della password è di 32 caratteri. |
Check Duplicate |
Optional
Se selezionata, l'azione verifica se il file è già stato inviato in precedenza e restituisce il report disponibile. Durante la convalida, l'azione non prende in considerazione i parametri Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Comment |
Optional
Un commento da inviare. |
Confidential Submission |
Optional
Se selezionata, il file viene mostrato solo agli utenti all'interno del tuo account cliente. Non selezionato per impostazione predefinita. |
Output azione
L'azione Invia file fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
In una bacheca casi, l'azione Invia file fornisce la seguente tabella:
Colonne:
- Risultati
- Nome
- Punteggio di minaccia
- Esito
- Tag
Messaggi di output
L'azione Invia file fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
|
L'azione ha restituito un errore. Controlla i formati file supportati per questa azione. |
Waiting for results for the following
files: PATHS |
Messaggio asincrono. |
Error executing action "Submit File".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Submit File".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE.
|
Azione non riuscita. Aumenta il timeout nell'IDE. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Invia file:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Invia URL
Utilizza l'azione Invia URL per inviare gli URL a una sandbox in CrowdStrike.
Questa azione richiede una licenza Falcon Sandbox. Per verificare i formati file supportati dalla sandbox, consulta la sezione Formati file e archivio supportati di questo documento.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Invia URL richiede i seguenti parametri:
| Parametri | |
|---|---|
URLs |
Obbligatorio
URL da inviare. |
Sandbox Environment |
Optional
Un ambiente sandbox da analizzare. Il valore predefinito è
|
Network Environment |
Optional
Un ambiente di rete da analizzare. Il valore predefinito è
|
Check Duplicate |
Optional
Se selezionata, l'azione verifica se l'URL è già stato inviato in precedenza e restituisce il report disponibile. Durante la convalida, l'azione non prende in considerazione i parametri Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Output azione
L'azione Invia URL fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Invia URL fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Waiting for results for the following
URLs: PATHS |
Messaggio asincrono. |
Error executing action "Submit URL".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Submit URL".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE. |
Azione non riuscita. Aumenta il timeout nell'IDE. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Invia URL:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Aggiorna avviso
Utilizza l'azione Aggiorna avviso per aggiornare gli avvisi in CrowdStrike Falcon.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiorna avviso richiede i seguenti parametri:
| Parametri | |
|---|---|
Alert ID |
Obbligatorio L'ID dell'avviso da aggiornare. |
Status |
Optional Lo stato dell'avviso. I valori possibili sono:
|
Verdict |
Optional L'esito dell'avviso. I valori possibili sono:
|
Assign To |
Optional Il nome dell'analista a cui assegnare l'avviso. Se fornisci L'API accetta qualsiasi valore anche se l'utente fornito non esiste nel sistema. |
Output azione
L'azione Aggiorna avviso fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Aggiorna avviso:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Messaggi di output
L'azione Update Alert (Aggiorna avviso) fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully updated alert with ID
ALERT_ID in CrowdStrike |
Azione riuscita. |
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiorna avviso:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Update Detection - Deprecated
Utilizza l'azione Aggiorna rilevamento per aggiornare i rilevamenti in CrowdStrike Falcon.
Questa azione viene eseguita su tutte le entità.
Input azione
L'azione Update Detection richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Detection ID |
Obbligatorio. L'ID del rilevamento da aggiornare. |
Status |
Obbligatorio. Uno stato di rilevamento. Il valore predefinito è
|
Assign Detection to |
Facoltativo. Un indirizzo email dell'utente CrowdStrike Falcon a cui è assegnato il rilevamento. |
Output azione
L'azione Update Detection fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Update Detection fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. |
Azione riuscita. |
Error executing action "Update Detection". Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Update Detection". Reason: Either
"Status" or "Assign Detection To" should have a proper value. |
Azione non riuscita. Controlla i valori dei parametri |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Update Detection:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Aggiorna il rilevamento di Identity Protection
Utilizza Update Identity Protection Detection per aggiornare un rilevamento di Identity Protection in CrowdStrike.
Questa azione richiede una licenza Identity Protection.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiorna rilevamento Identity Protection richiede i seguenti parametri:
| Parametri | |
|---|---|
Detection ID |
Obbligatorio
L'ID del rilevamento da aggiornare. |
Status |
Optional
Uno stato del rilevamento. Il valore predefinito è I valori possibili sono:
|
Assign to |
Optional
Il nome dell'analista assegnato. Se viene fornito Se viene fornito un valore non valido, l'azione non modifica l'assegnatario corrente. |
Output azione
L'azione Aggiorna rilevamento di Identity Protection fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Aggiorna il rilevamento di Identity Protection:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://example.com/",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
Messaggi di output
In una bacheca dei casi, l'azione Aggiorna rilevamento di Identity Protection fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully updated identity protection detection with ID
DETECTION_ID in CrowdStrike.
|
Azione riuscita. |
Error executing action "Update Identity Protection Detection".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Update Identity Protection Detection".
Reason: identity protection detection with ID
DETECTION_ID wasn't found in
CrowdStrike. Please check the spelling. |
Azione non riuscita. Controlla l'ortografia. |
Error executing action "Update
Identity Protection Detection". Reason: at least one of the "Status" or
"Assign To" parameters should have a value. |
Azione non riuscita. Controlla i valori dei parametri |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiorna il rilevamento di Identity Protection:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Aggiorna incidente - Deprecato
Utilizza l'azione Update Incident (Aggiorna incidente) per aggiornare gli incidenti in CrowdStrike.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Aggiorna incidente richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Incident ID |
Obbligatorio. L'ID dell'incidente da aggiornare. |
Status |
Facoltativo. Lo stato dell'incidente.I valori possibili sono:
|
Assign to |
Facoltativo. Il nome o l'indirizzo email dell'analista assegnato. Se viene fornito Per specificare un nome, fornisci il nome e il cognome dell'analista nel seguente formato:
|
Output azione
L'azione Aggiorna incidente fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Aggiorna incidente:
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"host_ids": [
"fee8a6ef0cb3412e9a781dcae0287c85"
],
"hosts": [
{
"device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
"hostname": "DESKTOP-EXAMPLE",
"external_ip": "198.51.100.1",
"os_version": "Windows 10",
"status": "contained"
}
],
"created": "2023-01-09T12:12:51Z",
"state": "closed",
"status": 20,
"tactics": [
"Defense Evasion",
"Privilege Escalation",
"Credential Access"
],
"fine_score": 21
}
Messaggi di output
L'azione Aggiorna incidente fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully updated incident with ID
INCIDENT_ID in CrowdStrike |
Azione riuscita. |
Error executing action "Update Incident". Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione, i parametri di input o le credenziali. |
Error executing action "Update Incident". Reason: incident with
ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
Azione non riuscita. Controlla l'ortografia. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiorna incidente:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Aggiorna le informazioni sugli IOC
Utilizza l'azione Aggiorna informazioni IOC per aggiornare le informazioni sugli IOC personalizzati in CrowdStrike Falcon.
Questa azione tratta le entità Hostname come IOC di dominio ed estrae la parte del dominio dagli URL. Questa azione supporta solo gli hash MD5 e SHA-256.
L'azione Aggiorna informazioni IOC viene eseguita sulle seguenti entità:
- Nome host
- URL
- Indirizzo IP
- Hash
Input azione
L'azione Aggiorna informazioni IOC richiede i seguenti parametri:
| Parametri | |
|---|---|
Description |
Optional
Una nuova descrizione per gli IOC personalizzati. |
Source |
Optional
Una fonte per gli IoC personalizzati. |
Expiration days |
Optional
Il numero di giorni rimanenti fino alla scadenza. Questo parametro influisce solo sulle entità URL, Indirizzo IP e Nome host. |
Detect policy |
Optional
Se selezionata, l'azione invia una notifica per gli IOC identificati. Se questa opzione non è selezionata, l'azione non invia alcuna notifica. Questo tipo di annuncio sarà selezionato per impostazione predefinita. |
Output azione
L'azione Update IOC Information (Aggiorna informazioni IOC) fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Update IOC Information (Aggiorna informazioni IOC):
{
"id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
"type": "md5",
"value": "7e4b0f81078f27fde4aeb87b78b6214c",
"source": "testSource",
"action": "detect",
"severity": "high",
"description": "test description update",
"platforms": [
"example"
],
"tags": [
"Hashes 17.Apr.18 12:20 (Example)"
],
"expiration": "2022-05-01T12:00:00Z",
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-09-16T10:09:07.755804336Z",
"modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
Messaggi di output
In una bacheca delle richieste, l'azione Aggiorna informazioni IOC fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Update IOC
Information". Reason: ERROR_REASON
|
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiorna informazioni IOC:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Carica IOC
Utilizza l'azione Carica IOC per aggiungere IOC personalizzati in CrowdStrike Falcon.
Questa azione tratta le entità Hostname come IOC di dominio ed estrae la parte del dominio dagli URL. Questa azione supporta solo gli hash MD5 e SHA-256.
L'azione Carica IOC viene eseguita sulle seguenti entità:
- Indirizzo IP
- Nome host
- URL
- Hash
Input azione
L'azione Carica IOC richiede i seguenti parametri:
| Parametri | |
|---|---|
Platform |
Obbligatorio
Un elenco separato da virgole di piattaforme correlate all'IOC. Il valore predefinito è
|
Severity |
Obbligatorio
La gravità dell'IOC. Il valore predefinito è
|
Comment |
Optional
Un commento contenente più contesto relativo all'IOC. |
Host Group Name |
Obbligatorio
Il nome del gruppo di host. |
Action |
Optional
Un'azione per gli IOC caricati. Il valore predefinito è I valori possibili sono:
Il valore |
Days To Expire |
Optional
Il numero di giorni prima della scadenza dell'IOC. |
Output azione
L'azione Carica IOC fornisce i seguenti output:
| Tipo di output dell'azione | |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Carica IOC fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
Azione riuscita. |
Error executing action "Upload IOCs".
Reason: ERROR_REASON |
Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Upload IOCs". Reason: Host group
"HOST_GROUP_NAME" was not found.
Please check the spelling. |
Azione non riuscita. Controlla il valore parametro |
Error executing action "Upload IOCs".
Invalid value provided for the parameter "Platform". Possible values:
Windows, Linux, Mac. |
Azione non riuscita. Controlla il valore parametro |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Carica IOC:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
True o False |
Connettori
Assicurati di aver configurato le autorizzazioni minime per ogni connettore CrowdStrike. Per maggiori dettagli, consulta la sezione Autorizzazioni del connettore di questo documento.
Per istruzioni su come configurare un connettore in Google SecOps, consulta Importa i dati (connettori).
Eventi di CrowdStrike
Gli eventi sono informazioni raccolte dai sensori Falcon sugli host. In CrowdStrike esistono quattro tipi di eventi:
| Tipi di eventi CrowdStrike | |
|---|---|
| Eventi di controllo dell'attività di autenticazione | Eventi generati ogni volta che l'autorizzazione viene richiesta, consentita o completata sugli endpoint. |
| Eventi di riepilogo del rilevamento | Eventi generati quando vengono rilevate minacce sugli endpoint. |
| Eventi di fine sessione di risposta remota | Eventi generati da sessioni remote sugli endpoint. |
| Eventi di controllo dell'attività utente | Eventi generati per monitorare le attività svolte dagli utenti attivi sugli endpoint. |
I connettori importano gli eventi in Google SecOps per creare avvisi e arricchire i casi con i dati sugli eventi. Puoi selezionare gli eventi da importare in Google SecOps: tutti i tipi di eventi o solo quelli selezionati.
Ritirato: connettore CrowdStrike Detections
Utilizza il connettore di rilevamento CrowdStrike per estrarre i rilevamenti da CrowdStrike.
L'elenco dinamico funziona con i filtri supportati dall'API CrowdStrike.
Come utilizzare l'elenco dinamico
Quando lavori con l'elenco dinamico, segui questi consigli:
- Utilizza il linguaggio FQL di CrowdStrike per modificare il filtro inviato dal connettore.
- Fornisci una voce separata nell'elenco dinamico per ogni filtro.
- Per importare tutti i rilevamenti assegnati a un analista specifico, assicurati che l'analista fornisca la seguente voce dell'elenco dinamico:
assigned_to_name:'ANALYST_USER_NAME'
L'elenco dinamico supporta i seguenti parametri:
| Parametri supportati | Descrizione |
|---|---|
q |
Una ricerca a testo intero in tutti i campi dei metadati. |
date_updated |
La data dell'aggiornamento del rilevamento più recente. |
assigned_to_name |
Il nome utente leggibile dell'assegnatario del rilevamento. |
max_confidence |
Quando un rilevamento ha più di un comportamento associato con livelli di affidabilità diversi, questo campo acquisisce il valore di affidabilità più elevato di tutti i comportamenti. Il valore parametro può essere un numero intero compreso tra 1 e 100. |
detection_id |
L'ID rilevamento che può essere utilizzato insieme ad altre API, come l'API Detection Details o l'API Resolve Detection. |
max_severity |
Quando un rilevamento ha più di un comportamento associato con livelli di gravità diversi, questo campo acquisisce il valore di gravità più elevato di tutti i comportamenti. Il valore parametro può essere un numero intero compreso tra 1 e 100. |
max_severity_displayname |
Il nome utilizzato nella UI per determinare la gravità del rilevamento. I valori possibili sono:
|
seconds_to_triaged |
Il tempo necessario per modificare lo stato di un rilevamento da new a in_progress. |
seconds_to_resolved |
Il tempo necessario per modificare lo stato di un rilevamento da new a uno qualsiasi degli stati risolti (true_positive, false_positive, ignored e closed). |
status |
Stato attuale del rilevamento. I valori possibili sono:
|
adversary_ids |
L'autore dell'attacco monitorato da CrowdStrike Falcon Intelligence possiede un ID associato ai comportamenti o agli indicatori attribuiti in un rilevamento. Questi ID si trovano nei metadati di rilevamento accessibili tramite l'API Detection Details. |
cid |
L'ID cliente (CID) della tua organizzazione. |
Input del connettore
Il connettore CrowdStrike Detections richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Product Field Name |
Obbligatorio. Il nome del campo di origine che contiene il nome Il valore predefinito è |
Event Field Name |
Obbligatorio. Il nome del campo di origine che contiene il nome Il valore predefinito è |
Environment Field Name |
Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, viene utilizzato l'ambiente predefinito. Il valore predefinito è |
Environment Regex Pattern |
Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito |
Script Timeout (Seconds) |
Obbligatorio. Il limite di timeout in secondi per il processo Python che esegue lo script corrente. Il valore predefinito è |
API Root |
Obbligatorio. La radice dell'API dell'istanza di CrowdStrike. Il valore predefinito è |
Client ID |
Obbligatorio. L'ID client dell'account CrowdStrike. |
Client Secret |
Obbligatorio. Il client secret dell'account CrowdStrike. |
Lowest Severity Score To Fetch |
Facoltativo. Il punteggio di gravità più basso dei rilevamenti da recuperare (massimo 100). Il valore predefinito è |
Lowest Confidence Score To Fetch |
Facoltativo. Il punteggio di confidenza più basso dei rilevamenti da recuperare (massimo 100). Il valore predefinito è |
Max Hours Backwards |
Facoltativo. Il numero di ore da cui recuperare i rilevamenti. Il valore predefinito è |
Max Detections To Fetch |
Facoltativo. Il numero di rilevamenti da elaborare in una singola iterazione del connettore. Il valore predefinito è |
Disable Overflow |
Facoltativo. Se selezionata, il connettore ignora il meccanismo di overflow. |
Verify SSL |
Obbligatorio. Se l'opzione è selezionata, l'integrazione verifica il certificato SSL. |
Proxy Server Address |
Facoltativo. Un indirizzo del server proxy da utilizzare. |
Proxy Username |
Facoltativo. Un nome utente proxy con cui eseguire l'autenticazione. |
Proxy Password |
Facoltativo. Una password proxy per l'autenticazione. |
Case Name Template |
Facoltativo. Formato del segnaposto: [FIELD_NAME
]. |
Alert Name Template |
Facoltativo. Formato del segnaposto: [FIELD_NAME
]. |
Padding Period |
Facoltativo. Numero di ore utilizzate per il padding (massimo 6). |
Include Hidden Alerts |
Facoltativo. Se l'opzione è attiva, recupera gli avvisi etichettati come "nascosti". |
Fallback Severity |
Facoltativo. Applicato se la gravità non è presente. Valore predefinito: Informazioni. |
Customer ID |
Facoltativo. L'ID cliente per gli ambienti multi-tenant (MSSP). |
Regole del connettore
Il connettore supporta i proxy.
Eventi del connettore
Di seguito è riportato un esempio di evento del connettore:
{
"cid": "123456789abcdef123456789abcdef12",
"created_timestamp": "2021-01-12T16:19:08.651448357Z",
"detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"device": {
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"cid": "123456789abcdef123456789abcdef12",
"agent_load_flags": "0",
"agent_local_time": "2021-01-12T16:07:16.205Z",
"agent_version": "6.13.12708.0",
"bios_manufacturer": "Example LTD",
"bios_version": "6.00",
"config_id_base": "65994753",
"config_id_build": "12708",
"config_id_platform": "3",
"external_ip": "203.0.113.1",
"hostname": "EXAMPLE-01",
"first_seen": "2021-01-12T16:01:43Z",
"last_seen": "2021-01-12T16:17:21Z",
"local_ip": "192.0.2.1",
"mac_address": "00-50-56-a2-5d-a3",
"major_version": "10",
"minor_version": "0",
"os_version": "Windows 10",
"platform_id": "0",
"platform_name": "Windows",
"product_type": "1",
"product_type_desc": "Workstation",
"status": "normal",
"system_manufacturer": "Example, Inc.",
"system_product_name": "Example ",
"modified_timestamp": "2021-01-12T16:17:29Z",
"behaviors":
{
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"timestamp": "2021-01-12T16:17:19Z",
"template_instance_id": "10",
"behavior_id": "10146",
"filename": "reg.exe",
"filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"alleged_filetype": "exe",
"cmdline": "REG ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
"scenario": "credential_theft",
"objective": "Gain Access",
"tactic": "Credential Access",
"tactic_id": "TA0006",
"technique": "Credential Dumping",
"technique_id": "T1003",
"display_name": "Example-Name",
"severity": 70,
"confidence": 80,
"ioc_type": "hash_sha256",
"ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"ioc_source": "library_load",
"ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"user_name": "Admin",
"user_id": "example-id",
"control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
"sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"md5": "05cf3ce225b05b669e3118092f4c8eab",
"parent_details": {
"parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
"parent_md5": "9d59442313565c2e0860b88bf32b2277",
"parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
"parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
},
"pattern_disposition": 2048,
"pattern_disposition_details": {
"indicator": false,
"detect": false,
"inddet_mask": false,
"sensor_only": false,
"rooting": false,
"kill_process": false,
"kill_subprocess": false,
"quarantine_machine": false,
"quarantine_file": false,
"policy_disabled": false,
"kill_parent": false,
"operation_blocked": false,
"process_blocked": true,
"registry_operation_blocked": false,
"critical_process_disabled": false,
"bootup_safeguard_enabled": false,
"fs_operation_blocked": false,
"handle_operation_downgraded": false
}
}
},
"email_sent": false,
"first_behavior": "2021-01-12T16:17:19Z",
"last_behavior": "2021-01-12T16:17:19Z",
"max_confidence": 80,
"max_severity": 70,
"max_severity_displayname": "High",
"show_in_ui": true,
"status": "new",
"hostinfo": {
"domain": ""
},
"seconds_to_triaged": 0,
"seconds_to_resolved": 0,
}
Connettore CrowdStrike Falcon Streaming Events
Il connettore CrowdStrike Falcon Streaming Events è utile nei seguenti casi d'uso:
Acquisizione dei dati sugli eventi di rilevamento.
CrowdStrike Falcon rileva un tentativo di eseguire il file
SophosCleanM.exedannoso su un endpoint. CrowdStrike interrompe l'operazione e crea un avviso contenente gli hash dei file nei dati sugli eventi.Un analista interessato alla reputazione dei file esegue gli hash rilevati in VirusTotal e scopre che un hash è dannoso. Come passaggio successivo, l'azione McAfee EDR mette in quarantena il file dannoso.
Acquisizione dei dati sugli eventi di controllo delle attività utente.
Un utente di CrowdStrike, Dani, aggiorna lo stato del rilevamento da
newafalse-positive. Questa azione utente crea un evento denominato detection_update.L'analista esegue un follow-up per capire perché Dani ha contrassegnato l'azione come falso positivo e controlla l'evento importato contenente le informazioni sull'identità di Dani.
Come passaggio successivo, l'analista esegue l'azione Arricchisci entità di Active Directory per ottenere maggiori dettagli sull'incidente e semplificare il monitoraggio di Dani.
Acquisizione dei dati sugli eventi di controllo delle attività di autenticazione.
Un evento indica che Dani ha creato un nuovo account utente e gli ha assegnato i ruoli utente.
Per esaminare l'evento e capire perché l'utente è stato creato, l'analista utilizza l'ID utente di Dani per eseguire l'azione Arricchisci entità di Active Directory e scoprire il ruolo utente di Dani per confermare se è autorizzato ad aggiungere nuovi utenti.
Acquisizione dei dati degli eventi di fine risposta remota.
Un evento remoto indica che Dani aveva una connessione remota a un host specifico ed eseguiva comandi come utente root per accedere a una directory del server web.
Per ottenere ulteriori informazioni sia su Dani che sull'host coinvolto, l'analista esegue l'azione Active Directory per arricchire sia l'utente che l'host. In base alle informazioni restituite, l'analista potrebbe decidere di sospendere Dani finché non viene chiarito lo scopo della connessione remota.
Input del connettore
Il connettore di eventi di streaming CrowdStrike Falcon richiede i seguenti parametri:
| Parametri | |
|---|---|
Product Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Event Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Environment Field Name |
Optional
Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, viene utilizzato l'ambiente predefinito. Il valore predefinito è |
Environment Regex Pattern |
Optional
Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è null o vuoto o se il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito. |
Alert Name Template |
Optional
Se fornito, il connettore utilizza questo valore per il nome dell'avviso di Google SecOps. Puoi fornire segnaposto nel seguente formato: [ Nota: se non fornisci un valore o un modello non valido, il connettore utilizza il nome dell'avviso predefinito. Il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
API Root |
Obbligatorio
La radice dell'API dell'istanza di CrowdStrike. Il valore predefinito è |
Client ID |
Obbligatorio
L'ID client dell'account CrowdStrike. |
Client Secret |
Obbligatorio
Il client secret dell'account CrowdStrike. |
Event types |
Optional
Un elenco separato da virgole di tipi di eventi. Ecco alcuni esempi di tipi di eventi:
|
Max Days Backwards |
Optional
Il numero di giorni prima di oggi da cui recuperare i rilevamenti. Il valore predefinito è |
Max Events Per Cycle |
Optional
Il numero di eventi da elaborare in una singola iterazione del connettore. Il valore predefinito è |
Min Severity |
Optional Eventi da importare in base alla gravità dell'evento (eventi di rilevamento). Il valore è compreso tra 0 e 5. Se vengono importati altri tipi di eventi oltre ai rilevamenti, la loro gravità viene impostata su |
Disable Overflow |
Optional Se selezionata, il connettore ignora il meccanismo di overflow. Non selezionato per impostazione predefinita. |
Verify SSL |
Obbligatorio
Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server CrowdStrike sia valido. Non selezionato per impostazione predefinita. |
Script Timeout (Seconds) |
Obbligatorio Il limite di timeout per il processo Python che esegue lo script corrente. Il valore predefinito è 60 secondi. |
Proxy Server Address |
Optional
Un indirizzo del server proxy da utilizzare. |
Proxy Username |
Optional
Un nome utente proxy con cui eseguire l'autenticazione. |
Proxy Password |
Optional
Una password proxy per l'autenticazione. |
Rule Generator Template |
Optional
Se fornito, il connettore utilizza questo valore per il generatore di regole di Google SecOps. Puoi fornire
segnaposto
nel seguente formato: [ Se non fornisci un valore o un template non valido, il connettore utilizza il generatore di regole predefinito. Il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
Customer ID |
Optional L'ID cliente del tenant in cui eseguire il connettore. Per l'utilizzo in ambienti multi-tenant (MSSP). |
Regole del connettore
Questo connettore supporta i proxy.
Questo connettore non supporta l'elenco dinamico.
Connettore di rilevamento di CrowdStrike Identity Protection
Utilizza il connettore di rilevamento di CrowdStrike Identity Protection per estrarre i rilevamenti di protezione dell'identità da CrowdStrike. L'elenco dinamico funziona con il parametro display_name.
Questo connettore richiede una licenza Identity Protection.
Input del connettore
Il connettore CrowdStrike Identity Protection Detections richiede i seguenti parametri:
| Parametri | |
|---|---|
Product Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Event Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Environment Field Name |
Optional
Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, viene utilizzato l'ambiente predefinito. Il valore predefinito è |
Environment Regex Pattern |
Optional
Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è null o vuoto o se il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito. |
Script Timeout (Seconds) |
Obbligatorio Il limite di timeout in secondi per il processo Python che esegue lo script corrente. Il valore predefinito è |
API Root |
Obbligatorio
La radice dell'API dell'istanza di CrowdStrike. Il valore predefinito è |
Client ID |
Obbligatorio
L'ID client dell'account CrowdStrike. |
Client Secret |
Obbligatorio
Il client secret dell'account CrowdStrike. |
Lowest Severity Score To Fetch |
Optional
Il punteggio di gravità più basso dei rilevamenti da recuperare. Se non viene fornito alcun valore, il connettore non applica questo filtro. Il valore massimo è Il valore predefinito è Il connettore supporta anche i seguenti valori per questo parametro:
|
Lowest Confidence Score To Fetch |
Optional
il punteggio di confidenza più basso dei rilevamenti da recuperare. Se non viene fornito alcun valore, il connettore non applica questo filtro. Il valore massimo è Il valore predefinito è |
Max Hours Backwards |
Optional
Il numero di ore precedenti a questo momento da cui recuperare i rilevamenti. Il valore predefinito è |
Max Detections To Fetch |
Optional
Il numero di rilevamenti da elaborare in una singola iterazione del connettore. Il valore predefinito è |
Case Name Template |
Optional
Se fornito, il connettore aggiunge una nuova chiave denominata Puoi fornire segnaposto nel seguente formato: [ Nota: il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
Alert Name Template |
Optional
Se fornito, il connettore utilizza questo valore per il nome dell'avviso di Google SecOps. Puoi fornire segnaposto nel seguente formato: [ Nota: se non fornisci un valore o un modello non valido, il connettore utilizza il nome dell'avviso predefinito. Il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
Disable Overflow |
Optional Se selezionata, il connettore ignora il meccanismo di overflow. Non selezionato per impostazione predefinita. |
Verify SSL |
Obbligatorio
Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server CrowdStrike sia valido. Non selezionato per impostazione predefinita. |
Proxy Server Address |
Optional
Un indirizzo del server proxy da utilizzare. |
Proxy Username |
Optional
Un nome utente proxy con cui eseguire l'autenticazione. |
Proxy Password |
Optional
Una password proxy per l'autenticazione. |
Customer ID |
Optional L'ID cliente del tenant in cui eseguire il connettore. Per l'utilizzo in ambienti multi-tenant (MSSP). |
Regole del connettore
Questo connettore supporta i proxy.
Evento del connettore
Di seguito è riportato un esempio di evento del connettore:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://example.com/identity-protection/detections/",
"id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
Deprecato: connettore CrowdStrike Incidents
Utilizza il connettore per gli incidenti di CrowdStrike per estrarre gli incidenti e i comportamenti correlati da CrowdStrike.
L'elenco dinamico funziona con il parametro incident_type.
Parametri del connettore
Il connettore CrowdStrike Incidents richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Product Field Name |
Obbligatorio. Il nome del campo di origine che contiene il nomeProduct Field.
Il valore predefinito è |
Event Field Name |
Obbligatorio. Il nome del campo di origine che contiene il nomeEvent Field.
Il valore predefinito è |
Environment Field Name |
Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se non viene trovato, viene utilizzato l'ambiente predefinito.Il valore predefinito è |
Environment Regex Pattern |
Facoltativo. Un pattern di espressione regolare per manipolare il valore del campo dell'ambiente.Utilizza il valore predefinito |
Script Timeout (Seconds) |
Obbligatorio. Il limite di timeout per il processo Python.Il valore predefinito è |
API Root |
Obbligatorio. La radice dell'API dell'istanza di CrowdStrike.Il valore predefinito è |
Client ID |
Obbligatorio. L'ID client dell'account CrowdStrike. |
Client Secret |
Obbligatorio. Il client secret dell'account CrowdStrike. |
Lowest Severity Score To Fetch |
Facoltativo. Il punteggio di gravità più basso degli incidenti da recuperare. SupportaLow,
Medium, High, Critical o valori numerici
fino a 100. |
Max Hours Backwards |
Facoltativo. Finestra temporale di recupero in ore.Il valore predefinito è |
Max Incidents To Fetch |
Facoltativo. Numero di incidenti per iterazione. Il valore massimo è100.
Il valore predefinito è |
Use dynamic list as a blocklist |
Obbligatorio. Se selezionata, l'elenco dinamico funge da lista bloccata. |
Disable Overflow |
Facoltativo. Se selezionata, ignora il meccanismo di overflow. |
Verify SSL |
Obbligatorio. Verifica il certificato SSL per la connessione. |
Proxy Parameters |
Facoltativo. IncludeProxy Server Address, Proxy Username e
Proxy Password. |
Customer ID |
Facoltativo. ID tenant per ambienti multi-tenant (MSSP). |
Regole del connettore
Questo connettore supporta i proxy.
Eventi del connettore
Il connettore supporta due tipi di eventi: basati su incidenti e basati sul comportamento.
Esempio: evento basato su un incidente
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"state": "closed",
"tactics": ["Defense Evasion", "Privilege Escalation"],
"fine_score": 21
}
Esempio: evento basato sul comportamento
{
"behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"timestamp": "2023-01-09T11:24:25Z",
"tactic": "Privilege Escalation",
"technique": "Bypass User Account Control"
}
CrowdStrike - Connettore di avvisi
Utilizza il connettore CrowdStrike - Alerts per estrarre gli avvisi da CrowdStrike.
L'elenco dinamico funziona con il parametro display_name.
Per recuperare i rilevamenti di Identity Protection, utilizza il connettore Identity Protection Detections.
Input del connettore
Il connettore CrowdStrike – Alerts Connector richiede i seguenti parametri:
| Parametri | |
|---|---|
Product Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Event Field Name |
Obbligatorio
Il nome del campo di origine che contiene il nome Il valore predefinito è |
Environment Field Name |
Optional
Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, viene utilizzato l'ambiente predefinito. Il valore predefinito è |
Environment Regex Pattern |
Optional
Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è null o vuoto o se il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito. |
Script Timeout (Seconds) |
Obbligatorio Limite di timeout in secondi per il processo Python che esegue lo script corrente. Il valore predefinito è |
API Root |
Obbligatorio
La radice dell'API dell'istanza di CrowdStrike. Il valore predefinito è |
Client ID |
Obbligatorio
L'ID client dell'account CrowdStrike. |
Client Secret |
Obbligatorio
Il client secret dell'account CrowdStrike. |
Case Name Template |
Optional
Se fornito, il connettore aggiunge una nuova chiave denominata Puoi fornire segnaposto nel seguente formato: [ Nota: il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
Alert Name Template |
Optional
Se fornito, il connettore utilizza questo valore per il nome dell'avviso di Google SecOps. Puoi fornire segnaposto nel seguente formato: [ Nota: se non fornisci un valore o un modello non valido, il connettore utilizza il nome dell'avviso predefinito. Il connettore utilizza il primo evento Google SecOps per i segnaposto. Questo parametro consente solo chiavi con un valore di stringa. |
Lowest Severity Score To Fetch |
Optional
Il punteggio di gravità più basso degli incidenti da recuperare. Se non viene fornito alcun valore, il connettore importa gli incidenti con tutte le gravità. Il valore massimo è
Nella UI di CrowdStrike, lo stesso valore viene presentato diviso per 10. |
Max Hours Backwards |
Optional
Il numero di ore precedenti al momento attuale da cui recuperare gli incidenti. Il valore predefinito è |
Max Alerts To Fetch |
Optional
Il numero di avvisi da elaborare in una singola iterazione del connettore. Il valore massimo è Il valore predefinito è |
Use dynamic list as a blocklist |
Obbligatorio
Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata. Non selezionato per impostazione predefinita. |
Disable Overflow |
Optional Se selezionata, il connettore ignora il meccanismo di overflow. Non selezionato per impostazione predefinita. |
Verify SSL |
Obbligatorio
Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server CrowdStrike sia valido. Non selezionato per impostazione predefinita. |
Proxy Server Address |
Optional
Un indirizzo del server proxy da utilizzare. |
Proxy Username |
Optional
Un nome utente proxy con cui eseguire l'autenticazione. |
Proxy Password |
Optional
Una password proxy per l'autenticazione. |
Customer ID |
Optional L'ID cliente del tenant in cui eseguire il connettore. Per l'utilizzo in ambienti multi-tenant (MSSP). |
Regole del connettore
Questo connettore supporta i proxy.
Eventi del connettore
Di seguito è riportato un esempio di evento basato su avvisi:
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12",
"aggind:123456789abcdef123456789abcdef12",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
"id": "ind:123456789abcdef123456789abcdef12",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
Job
Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.
Crowdstrike Falcon - Sincronizza gli avvisi
Utilizza il job Crowdstrike Falcon - Sync Alerts per sincronizzare i commenti e gli stati in modo bidirezionale tra Google SecOps e Crowdstrike.
Requisiti per il lavoro
Per assicurarti che il job identifichi e sincronizzi i dati corretti, devono essere soddisfatte le seguenti condizioni:
La richiesta Google SecOps deve contenere il tag
Crowdstrike Alert.Se l'avviso non proviene dal connettore degli avvisi o dal connettore di rilevamento delle protezioni dell'identità, devi aggiungere un valore di contesto dell'avviso
Alert_IDper il job per identificare il record Crowdstrike corretto.
Logica operativa
Il job sincronizza i dati in due fasi. La prima fase sincronizza i dati di Crowdstrike con gli avvisi di Google SecOps. La seconda fase sincronizza i dati degli avvisi di Google SecOps con gli avvisi di Crowdstrike.
Il job utilizza Max Hours Backwards per l'iterazione iniziale. Per tutte le richieste successive, il job utilizza il valore start_time dell'ultimo avviso elaborato.
Logica di sincronizzazione dei commenti
Il job utilizza last_update_time per filtrare i commenti ed evitare voci duplicate. I commenti sincronizzati utilizzano le seguenti strutture:
Inviato da Crowdstrike:
Crowdstrike {ticket_id}: {comment}Inviato da Google SecOps:
Google SecOps {case_id}: {comment}
Anche i commenti di chiusura dei casi di Google SecOps vengono sincronizzati con Crowdstrike come commenti.
Mappatura di stato ed esito
Quando un avviso viene chiuso in Google SecOps, il job aggiorna l'avviso Crowdstrike corrispondente con lo stato Closed. Il job applica anche la seguente mappatura per i verdetti degli analisti:
Se il motivo della chiusura è
Malicious, il verdetto di Crowdstrike è impostato suTrue Positive.Se il Motivo della chiusura è
Not Malicious, il Verdetto di Crowdstrike è impostato suFalse Positive.Per tutti gli altri motivi di chiusura, lo stato viene impostato su
Closedsenza un verdetto.
Parametri del job
Il job Crowdstrike Falcon - Sync Alerts richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Environment Name |
Obbligatorio. Il nome dell'ambiente in cui il job cerca gli avvisi. Il valore predefinito è |
API Root |
Obbligatorio. La radice dell'API dell'istanza Crowdstrike. Il valore predefinito è |
Client ID |
Obbligatorio. L'ID client dell'account Crowdstrike. |
Client Secret |
Obbligatorio. Il client secret dell'account Crowdstrike. |
Max Hours Backwards |
Obbligatorio. Il numero di ore precedenti all'ora corrente per sincronizzare gli avvisi durante la prima iterazione del job. Il valore predefinito è |
Verify SSL |
Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Crowdstrike. Abilitato per impostazione predefinita. |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.