CrowdStrike Falcon を Google SecOps と統合する

このドキュメントでは、CrowdStrike Falcon を Google Security Operations と統合する方法について説明します。

この統合では、1 つ以上のオープンソース コンポーネントを使用します。この統合の完全なソースコードのコピーを Cloud Storage バケットからダウンロードできます。

ユースケース

Google SecOps プラットフォームでは、CrowdStrike Falcon の統合により、次のユースケースが解決されます。

  • マルウェアの自動封じ込め: Google SecOps プラットフォームの機能を使用して、影響を受けるエンドポイントを自動的に隔離し、ファイルハッシュを取得して詳細な分析を行い、マルウェアの拡散を防ぎます。フィッシング メールが不審なファイルのダウンロードに関する CrowdStrike Falcon アラートをトリガーすると、自動マルウェア封じ込めが有効になります。

  • インシデント対応の迅速化: Google SecOps を使用して、プロセスツリーやネットワーク接続などのコンテキスト データを収集し、侵害されたホストを隔離して、調査用のチケットを作成します。

  • 脅威ハンティングと調査: Google SecOps プラットフォームの機能を使用して、特定のユーザー アクション、ファイル変更、ネットワーク接続について、定義された期間にわたって CrowdStrike Falcon にクエリを実行します。脅威ハンティングと調査により、セキュリティ アナリストは、調査プロセスを効率化しながら、潜在的なインサイダー脅威を調査し、過去のエンドポイント アクティビティを分析できます。

  • フィッシングへの対応と修復: CrowdStrike Falcon と Google SecOps プラットフォームを使用して、メールの添付ファイルをスキャンし、サンドボックス環境で開き、悪意のあるアクティビティが検出された場合は、送信者のメールアドレスを自動的にブロックします。

  • 脆弱性の管理: Google SecOps プラットフォームの機能を使用して、脆弱なシステムごとにチケットを自動的に作成し、重大度とアセット値に基づいて優先順位を付け、自動パッチ適用ワークフローをトリガーします。脆弱性の管理は、複数のエンドポイントで重大な脆弱性を特定するのに役立ちます。

始める前に

Google SecOps で統合を構成する前に、次の手順を完了します。

  1. CrowdStrike Falcon API クライアントを構成します。

  2. アクションの権限を構成します。

  3. コネクタの権限を構成します。

CrowdStrike Falcon API クライアントを構成する

CrowdStrike API クライアントを定義し、API クライアントまたはキーを表示、作成、変更するには、FalconAdministrator ロールが必要です。

シークレットは、新しい API クライアントを作成するか、API クライアントをリセットした場合にのみ表示されます。

CrowdStrike Falcon API クライアントを構成する手順は次のとおりです。

  1. Falcon UI で、[Support and resources] > [Resources and tools] > [API クライアント and keys] に移動します。このページでは、既存のクライアントの検索、新しい API クライアントの追加、監査ログの表示を行うことができます。
  2. [Create API Client] をクリックします。
  3. 新しい API クライアントの名前を入力します。
  4. 適切な API スコープを選択します。

  5. [作成] をクリックします。[Client ID] と [Client Secret] の値が表示されます。

    クライアント シークレットの値が表示されるのは、このときだけです。これは安全に保管してください。クライアント シークレットを紛失した場合は、API クライアントをリセットし、クライアント シークレットに依存するすべてのアプリケーションを新しい認証情報で更新します。

CrowdStrike API へのアクセスの詳細については、CrowdStrike ブログの CrowdStrike API へのアクセスガイドをご覧ください。

アクションの権限を構成する

次の表に示すように、アクションに必要な最小権限を参照してください。

アクション 必要な権限
アラートのコメントを追加 Alerts.Read
Alerts.Write
検出にコメントを追加する Detections.Read
Detection.Write
ID 保護検出コメントを追加 Alerts.Read
Alerts.Write
インシデント コメントを追加 Incidents.Write
検出をクローズする Detections.Read
Detection.Write
エンドポイントを隔離 Hosts.Read
Hosts.Write
IOC を削除する IOC Management.Read
IOC Management.Write
ファイルをダウンロード Hosts.Read
Real time response.Read
Real time response.Write
コマンドを実行 Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write*（完全な権限を持つコマンドの場合）。
アラートの詳細を取得する Alerts.Read
イベント オフセットを取得する Event streams.Read
IOC でホストを取得する 利用不可: 非推奨
ホスト情報を取得する Hosts.Read
IOC でプロセス名を取得する 利用不可: 非推奨
ホストを非表示 Hosts.Read
Hosts.Write
エンドポイントの隔離を解除 Hosts.Read
Hosts.Write
ホストの一覧表示 Hosts.Read
ホストの脆弱性を一覧表示する Hosts.Read
Spotlight vulnerabilities.Read
アップロードされた IOC を一覧表示する IOC Management.Read
オンデマンド スキャン On-demand scans (ODS).Read
On-demand scans (ODS).Write
Ping Hosts.Read
スクリプトを実行する Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write
検索イベント NGSIEM.Read
NGSIEM.Write
ファイルの送信 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
URL を送信 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
アラートを更新 Alerts.Read
Alerts.Write
検出を更新 Detections.Read
Detection.Write
User management.Read
Identity Protection の検出を更新する Alerts.Read
Alerts.Write
インシデントを更新 Incidents.Write
IOC 情報を更新する IOC Management.Read
IOC Management.Write
IOC をアップロードする IOC Management.Read
IOC Management.Write

コネクタの権限を構成する

次の表に、コネクタの最小権限を示します。

コネクタ 必要な権限
CrowdStrike Alerts コネクタ Alerts.Read
CrowdStrike Detections Connector Detection.Read
CrowdStrike Falcon Streaming Events コネクタ Event streams.Read
CrowdStrike Identity Protection Detections コネクタ Alerts.Read
CrowdStrike Incidents コネクタ Incidents.Read

エンドポイント

CrowdStrike Falcon 統合は、次の CrowdStrike Falcon API エンドポイントとやり取りします。

一般的な API エンドポイント:

  • /oauth2/token

ホストとデバイス:

  • /devices/entities/devices/v1
  • /devices/entities/devices-actions/v2

検出とイベント:

  • /detections/entities/detections/v2
  • /detections/entities/summaries/GET/v1
  • /protection/entities/detections/v1
  • /humio/api/v1/repositories/{repository}/queryjobs
  • /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

セキュリティ侵害インジケーター（IOC）:

  • /intel/entities/indicators/v1
  • /intel/queries/devices/v1

脆弱性:

  • /devices/combined/devices/vulnerabilities/v1

対応と封じ込め:

  • /respond/entities/command-queues/v1
  • /respond/entities/extracted-files/v1

インシデント:

  • /incidents/entities/incidents/GET/v1
  • /incidents/entities/incidents/comments/GET/v1
  • /incidents/entities/incidents/GET/v1

ファイルと URL の分析:

  • /malware-uploads/entities/submissions/v2
  • /url/entities/scans/v1

統合のパラメータ

統合が適切に機能するには、すべての機能を備えた CrowdStrike Falcon のプレミアム バージョンが必要です。一部のアクションは、CrowdStrike Falcon の基本バージョンでは機能しません。

CrowdStrike Falcon の統合には、次のパラメータが必要です。

パラメータ
API Root

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client API ID 必須

CrowdStrike API のクライアント ID。
Client API Secret 必須

CrowdStrike API のクライアント シークレット。
Verify SSL

選択すると、CrowdStrike Falcon サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトでは選択されていません。
Customer ID Optional

統合を実行するテナントのお客様 ID。マルチテナント（MSSP）環境で使用します。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

統合構成に進む前に、すべての統合アイテムに必要な最小限の権限を構成します。詳細については、アクションの権限をご覧ください。

アラートのコメントを追加

[Add Alert Comment] アクションを使用して、CrowdStrike Falcon のアラートにコメントを追加します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

[Add Alert Comment] アクションには、次のパラメータが必要です。

パラメータ
Alert 必須

更新するアラートの ID。
Comment 必須

アラートに追加するコメント。

アクションの出力

Add Alert Comment アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Add Alert Comment アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike アクションが成功しました。

Error executing action "Add Alert Comment". Reason: ERROR_REASON

Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Add Alert Comment アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

検出にコメントを追加する - 非推奨

[Add Comment to Detection] アクションを使用して、CrowdStrike Falcon の検出にコメントを追加します。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

Add Comment to Detection アクションには、次のパラメータが必要です。

パラメータ 説明
Detection ID

必須。

コメントを追加する検出の ID。
Comment

必須。

検出に追加するコメント。

アクションの出力

[Add Comment to Detection] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Add Comment to Detection アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

ID 保護検出コメントを追加

[Add Identity Protection Detection Comment] アクションを使用して、CrowdStrike の ID 保護検出にコメントを追加します。

この操作には Identity Protection ライセンスが必要です。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

[Add Identity Protection Detection Comment] アクションには、次のパラメータが必要です。

パラメータ
Detection ID 必須

更新する検出の ID。
Comment 必須

検出に追加するコメント。

アクションの出力

[Add Identity Protection Detection Comment] アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Add Identity Protection Detection Comment アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike アクションが成功しました。
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

操作を実行できませんでした。

スペルを確認してください。
スクリプトの結果

次の表に、Add Identity Protection Detection Comment アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

インシデント コメントを追加 - 非推奨

[インシデント コメントを追加] アクションを使用して、CrowdStrike のインシデントにコメントを追加します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Add Incident Comment アクションには、次のパラメータが必要です。

パラメータ 説明
Incident ID

必須。

更新するインシデントの ID。
Comment

必須。

インシデントに追加するコメント。

アクションの出力

[Add Incident Comment] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Add Incident Comment アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully added comment to the incident INCIDENT_ID in CrowdStrike アクションが成功しました。
Error executing action "Add Incident Comment". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

操作を実行できませんでした。

スペルを確認してください。
スクリプトの結果

次の表に、Add Incident Comment アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

Close Detection - 非推奨

[Close Detection] アクションを使用して、CrowdStrike Falcon の検出を閉じます。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

Close Detection アクションには、次のパラメータが必要です。

パラメータ 説明
Detection ID

必須。

クローズする検出の ID。
Hide Detection

省略可。

選択すると、UI で検出結果が非表示になります。

デフォルトで選択されます。

アクションの出力

[Close Detection] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能
スクリプトの結果

次の表に、検出をクローズアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

エンドポイントを隔離

[エンドポイントを封じ込める] アクションを使用して、CrowdStrike Falcon でエンドポイントを封じ込めます。

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションへの入力

エンドポイントを隔離するアクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Fail If Timeout 省略可

選択されているにもかかわらず、すべてのエンドポイントが含まれていない場合、アクションは失敗します。

デフォルトで選択されます。

アクションの出力

[Contain Endpoint] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充

Contain Endpoint アクションは、次のエンティティ拡充ロジックをサポートしています。

拡充フィールド ロジック
status JSON の結果に存在する場合に返す
modified_timestamp JSON の結果に存在する場合に返す
major_version JSON の結果に存在する場合に返す
policies JSON の結果に存在する場合に返す
config_id_platform JSON の結果に存在する場合に返す
bios_manufacturer JSON の結果に存在する場合に返す
system_manufacturer JSON の結果に存在する場合に返す
device_policies JSON の結果に存在する場合に返す
meta JSON の結果に存在する場合に返す
pointer_size JSON の結果に存在する場合に返す
last_seen JSON の結果に存在する場合に返す
agent_local_time JSON の結果に存在する場合に返す
first_seen JSON の結果に存在する場合に返す
service_pack_major JSON の結果に存在する場合に返す
slow_changing_modified_timestamp JSON の結果に存在する場合に返す
service_pack_minor JSON の結果に存在する場合に返す
system_product_name JSON の結果に存在する場合に返す
product_type_desc JSON の結果に存在する場合に返す
build_number JSON の結果に存在する場合に返す
cid JSON の結果に存在する場合に返す
local_ip JSON の結果に存在する場合に返す
external_ip JSON の結果に存在する場合に返す
hostname JSON の結果に存在する場合に返す
config_id_build JSON の結果に存在する場合に返す
minor_version JSON の結果に存在する場合に返す
platform_id JSON の結果に存在する場合に返す
os_version JSON の結果に存在する場合に返す
config_id_base JSON の結果に存在する場合に返す
provision_status JSON の結果に存在する場合に返す
mac_address JSON の結果に存在する場合に返す
bios_version JSON の結果に存在する場合に返す
platform_name JSON の結果に存在する場合に返す
agent_load_flags JSON の結果に存在する場合に返す
device_id JSON の結果に存在する場合に返す
product_type JSON の結果に存在する場合に返す
agent_version JSON の結果に存在する場合に返す
JSON の結果

次の例は、Contain Endpoint アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}
出力メッセージ

Contain Endpoint アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

アクションが成功しました。
Error executing action "Contain Endpoint". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID

操作を実行できませんでした。

エンドポイントのステータスと Fail If Timeout パラメータの値を確認します。
スクリプトの結果

次の表に、Contain Endpoint アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

IOC を削除する

[Delete IOC] アクションを使用して、CrowdStrike Falcon のカスタム IOC を削除します。

このアクションは、ホスト名エンティティをドメイン IOC として扱い、URL からドメイン部分を抽出します。このアクションは、MD5 ハッシュと SHA-256 ハッシュのみをサポートしています。

Delete IOC アクションは、次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名
  • URL
  • ハッシュ

アクションへの入力

なし

アクションの出力

Delete IOC アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Delete IOC アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False
出力メッセージ

ケースウォールで、[Delete IOC] アクションにより、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID

All of the provided IOCs were not a part of CrowdStrike Falcon instance.

 アクションが成功しました。
Error executing action "Delete IOC". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

ファイルをダウンロード

[Download File] アクションを使用して、CrowdStrike Falcon のホストからファイルをダウンロードします。

このアクションでは、ファイル名と IP アドレスまたはホスト名エンティティの両方が Google SecOps アラートのスコープに含まれている必要があります。

ダウンロードしたファイルは、パスワードで保護された zip パッケージにあります。ファイルにアクセスするには、パスワード infected を入力します。

Download File アクションは、次のエンティティに対して実行されます。

  • ファイル名
  • IP アドレス
  • ホスト

アクションへの入力

Download File アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Download Folder Path 必須

ダウンロードしたファイルを保存するフォルダのパス。

形式はデプロイによって異なります。

  • SaaS デプロイ: パスはホスト型プラットフォームの内部にあります。
  • リモート デプロイ: パスは、リモート エージェントがインストールされているローカルマシン上の有効な絶対ディレクトリ パスである必要があります（Windows の場合は C:\temp\download、Linux の場合は /var/tmp/download/ など）。
Overwrite 必須

選択すると、同じ名前のファイルが上書きされます。

デフォルトでは選択されていません。

アクションの出力

Download File アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ テーブル

Download File アクションは、次のエンティティ テーブルを提供します。

エンティティ
filepath ファイルの絶対パス。
JSON の結果

次の例は、ファイルのダウンロード アクションを使用した場合に受信される JSON 結果の出力を示しています。

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}
出力メッセージ

Download File アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID

アクションが成功しました。
Error executing action "Download File". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.

操作を実行できませんでした。

Overwrite パラメータ値を確認するか、ファイルを削除してください。
Waiting for results for the following entities: ENTITY_ID 非同期メッセージ。
スクリプトの結果

次の表に、ファイルのダウンロード アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

コマンドを実行

コマンドを実行アクションを使用して、CrowdStrike Falcon のホストでコマンドを実行します。

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションへの入力

Execute Command アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Command 必須

ホストで実行するコマンドを指定します。
Admin Command 省略可

選択すると、アクションは管理者権限でコマンドを実行します。これは、put などの特定のコマンドに必要です。

デフォルトでは選択されていません。
Hostname 省略可

アクションを実行するホスト名のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Queue Offline 省略可

選択すると、オフライン ホストをターゲットとするコマンドがキューに入れられ、ホストがネットワークに再接続されると実行されます。

デフォルトでは選択されていません。

アクションの出力

Execute Command アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

ケースウォールで、Execute Command アクションにより次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID アクションが成功しました。
Error executing action "Execute Command". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Waiting for results for the following entities: ENTITY_ID 非同期メッセージ。
スクリプトの結果

次の表に、コマンドを実行アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アラートの詳細を取得する

[Get Alert Details] アクションを使用して、CrowdStrike Falcon のアラートの詳細を取得します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

[Get Alert Details] アクションには、次のパラメータが必要です。

パラメータ 説明
Alert ID

必須。

詳細を取得するアラートの一意の ID。

アクションの出力

[Get Alert Details] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Get Alert Details アクションを使用した場合に受信される JSON 結果の出力です。

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "analyst@example.com",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
出力メッセージ

Get Alert Details アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.

 アクションが成功しました。
Error executing action "Get Alert Details". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Get Alert Details] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

イベント オフセットを取得する

Get Event Offset アクションを使用して、Streaming Events Connector で使用されるイベント オフセットを取得します。

この操作により、30 日前からのイベントの処理が開始されます。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Get Event Offset アクションには、次のパラメータが必要です。

パラメータ
Max Events To Process 必須

30 日前からアクションで処理する必要があるイベントの数。

デフォルト値は 10000 です。

アクションの出力

Get Event Offset アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Get Event Offset アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
出力メッセージ

[Get Event Offset] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully retrieved event offset in CrowdStrike Falcon. アクションが成功しました。
Error executing action "Get Event Offset". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Get Event Offset アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ホスト情報を取得する

ホスト情報を取得するアクションを使用して、CrowdStrike Falcon からホスト名に関する情報を取得します。

このアクションは次のエンティティに対して実行されます。

  • ホスト名
  • IP アドレス

アクションへの入力

[Get Host Information] アクションには、次のパラメータが必要です。

パラメータ
Hostname 省略可

CrowdStrike Falcon で非表示にするホスト名のカンマ区切りのリスト。このアクションは、このパラメータで指定された入力値と、ケースに添付されたホスト名エンティティと IP アドレス エンティティの両方を処理します。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Customer ID 省略可

特定のテナントをターゲットにするために使用される一意の CrowdStrike お客様 ID（CID）。このパラメータは、Falcon Flight Control またはマルチテナント環境で、特定の子 CID に対してアクションを実行するために必要です。

アクションの出力

[Get Host Information] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充

Get Host Information アクションは、次のエンティティ拡充ロジックをサポートしています。

拡充フィールド ロジック
modified_timestamp JSON の結果に存在する場合に返す
major_version JSON の結果に存在する場合に返す
site_name JSON の結果に存在する場合に返す
platform_id JSON の結果に存在する場合に返す
config_id_platform JSON の結果に存在する場合に返す
system_manufacturer JSON の結果に存在する場合に返す
meta JSON の結果に存在する場合に返す
first_seen JSON の結果に存在する場合に返す
service_pack_minor JSON の結果に存在する場合に返す
product_type_desc JSON の結果に存在する場合に返す
build_number JSON の結果に存在する場合に返す
hostname JSON の結果に存在する場合に返す
config_id_build JSON の結果に存在する場合に返す
minor_version JSON の結果に存在する場合に返す
os_version JSON の結果に存在する場合に返す
provision_status JSON の結果に存在する場合に返す
mac_address JSON の結果に存在する場合に返す
bios_version JSON の結果に存在する場合に返す
agent_load_flags JSON の結果に存在する場合に返す
status JSON の結果に存在する場合に返す
bios_manufacturer JSON の結果に存在する場合に返す
machine_domain JSON の結果に存在する場合に返す
agent_local_time JSON の結果に存在する場合に返す
slow_changing_modified_timestamp JSON の結果に存在する場合に返す
service_pack_major JSON の結果に存在する場合に返す
device_id JSON の結果に存在する場合に返す
system_product_name JSON の結果に存在する場合に返す
product_type JSON の結果に存在する場合に返す
local_ip JSON の結果に存在する場合に返す
external_ip JSON の結果に存在する場合に返す
cid JSON の結果に存在する場合に返す
platform_name JSON の結果に存在する場合に返す
config_id_base JSON の結果に存在する場合に返す
last_seen JSON の結果に存在する場合に返す
pointer_size JSON の結果に存在する場合に返す
agent_version JSON の結果に存在する場合に返す
JSON の結果

次の例は、Get Host Information アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]
出力メッセージ

[Get Host Information] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID

Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID

 アクションが成功しました。
Error executing action "Get Host Information". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Get Host Information] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

IOC でホストを取得する - 非推奨

CrowdStrike Falcon で IOC に関連するホストを一覧表示します。サポートされるエンティティ: ホスト名、URL、IP アドレス、ハッシュ。
注: ホスト名エンティティはドメイン IOC として扱われます。このアクションは、URL からドメイン部分を抽出します。MD5 ハッシュと SHA-256 ハッシュのみがサポートされています。

エンティティ

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名
  • URL
  • ハッシュ

アクションへの入力

なし

アクションの出力

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
エンティティ拡充
拡充フィールド ロジック
modified_timestamp JSON の結果に存在する場合に返す
major_version JSON の結果に存在する場合に返す
site_name JSON の結果に存在する場合に返す
platform_id JSON の結果に存在する場合に返す
config_id_platform JSON の結果に存在する場合に返す
system_manufacturer JSON の結果に存在する場合に返す
メタ JSON の結果に存在する場合に返す
first_seen JSON の結果に存在する場合に返す
service_pack_minor JSON の結果に存在する場合に返す
product_type_desc JSON の結果に存在する場合に返す
build_number JSON の結果に存在する場合に返す
hostname JSON の結果に存在する場合に返す
config_id_build JSON の結果に存在する場合に返す
minor_version JSON の結果に存在する場合に返す
os_version JSON の結果に存在する場合に返す
provision_status JSON の結果に存在する場合に返す
mac_address JSON の結果に存在する場合に返す
bios_version JSON の結果に存在する場合に返す
agent_load_flags JSON の結果に存在する場合に返す
設定されます。 JSON の結果に存在する場合に返す
bios_manufacturer JSON の結果に存在する場合に返す
machine_domain JSON の結果に存在する場合に返す
Device_policies JSON の結果に存在する場合に返す
agent_local_time JSON の結果に存在する場合に返す
slow_changing_modified_timestamp JSON の結果に存在する場合に返す
service_pack_major JSON の結果に存在する場合に返す
system_product_name JSON の結果に存在する場合に返す
product_type JSON の結果に存在する場合に返す
local_ip JSON の結果に存在する場合に返す
external_ip JSON の結果に存在する場合に返す
cid JSON の結果に存在する場合に返す
platform_name JSON の結果に存在する場合に返す
config_id_base JSON の結果に存在する場合に返す
ポリシー JSON の結果に存在する場合に返す
last_seen JSON の結果に存在する場合に返す
pointer_size JSON の結果に存在する場合に返す
agent_version JSON の結果に存在する場合に返す
エンティティのインサイト

なし

ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ * アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
成功し、指定された IOC に関連するホストが少なくとも 1 つ見つかった場合（is_success=true）: 「CrowdStrike Falcon で指定された IOC に関連するホストが正常に取得されました。」
関連するホストが見つからない場合（is_success=false）: 「CrowdStrike Falcon で指定された IOC に関連するホストが見つかりませんでした。」
アクションが失敗し、ハンドブックの実行が停止します。
重大なエラーが報告された場合:アクション「{action name}」の実行中にエラーが発生しました。理由: {traceback}。"		 全般

IOC でプロセス名を取得する - 非推奨

CrowdStrike Falcon で、IOC と提供されたデバイスに関連するプロセスを取得します。サポートされるエンティティ: ホスト名、URL、IP アドレス、ハッシュ。
注: ホスト名エンティティはドメイン IOC として扱われます。このアクションは、URL からドメイン部分を抽出します。MD5、SHA-1、SHA-256 ハッシュのみがサポートされています。IP アドレス エンティティは IOC として扱われます。

パラメータ

パラメータ名 種類 デフォルト値 必須 説明
デバイス名 11 なし はい エンティティに関連するプロセスを取得するデバイスのカンマ区切りのリストを指定します。

実行

このアクションは次のエンティティに対して実行されます。

  • ホスト名
  • URL
  • ハッシュ

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
エンティティ拡充
拡充フィールド名 ロジック - 適用するタイミング
プロセス名 JSON の結果に存在する場合に返す
インジケーター JSON の結果に存在する場合に返す
ホスト名 JSON の結果に存在する場合に返す
エンティティのインサイト

なし

ケースウォール
結果のタイプ 値 / 説明 種類
出力メッセージ * 少なくとも 1 つのエンドポイントのエンティティに関連するプロセスが見つかった場合（is_success=true）: 「CrowdStrike Falcon の次のエンドポイントの IOC に関連するプロセスが正常に取得されました: {device name}。」
アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。
少なくとも 1 つのエンドポイントでプロセスが見つからないか、デバイスが見つからない場合（is_success=true）:「CrowdStrike Falcon の次のエンドポイントで関連するプロセスが見つかりませんでした: {デバイス名}」
すべてのエンドポイントでプロセスが見つからない場合、またはデバイスが見つからない場合（is_success=false）: 「CrowdStrike Falcon で指定されたエンドポイントに関連するプロセスが見つかりませんでした。
アクションが失敗し、ハンドブックの実行が停止します。
重大なエラーが報告された場合: 「{action name}」の実行中にエラーが発生しました。 理由: {trace back}。」

ホストを非表示

[Hide Hosts] アクションを使用して、CrowdStrike Falcon コンソールから 1 つ以上のホストを非表示にします。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • ホスト名
  • IP アドレス

アクションへの入力

[ホストを非表示にする] アクションには、次のパラメータが必要です。

パラメータ 説明
Hostname

省略可。

CrowdStrike Falcon で非表示にするホスト名のカンマ区切りのリスト。

このアクションは、このパラメータで指定された入力値と、ケースにアタッチされた Hostname エンティティと IP Address エンティティの両方を処理します。
Customer ID

省略可。

特定のテナントをターゲットにするために使用される一意の CrowdStrike お客様 ID（CID）。

このパラメータは、Falcon Flight Control またはマルチテナント環境で、特定の子 CID に対してアクションを実行するために必要です。

アクションの出力

[Hide Hosts] アクションの出力は次のとおりです。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

[Hide Hosts] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully hid the following hosts in Crowdstrike: HOSTS.

Action wasn't able to hide the following hosts in Crowdstrike: HOSTS.

None of the provided hosts were hidden.

 アクションが成功しました。
Error executing action "Hide Host". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ホストを非表示にするアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

エンドポイントの隔離を解除

CrowdStrike Falcon でエンドポイントの封じ込めを解除するには、[Lift Contained Endpoint] アクションを使用します。

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションへの入力

Lift Contained Endpoint アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Fail If Timeout 省略可

選択されていて、すべてのエンドポイントで隔離が解除されなかった場合、アクションは失敗します。

デフォルトで選択されます。

アクションの出力

[Lift Contained Endpoint] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充

Lift Contained Endpoint アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド ロジック
status JSON の結果に存在する場合に返す
modified_timestamp JSON の結果に存在する場合に返す
major_version JSON の結果に存在する場合に返す
config_id_platform JSON の結果に存在する場合に返す
system_manufacturer JSON の結果に存在する場合に返す
device_policies JSON の結果に存在する場合に返す
meta JSON の結果に存在する場合に返す
pointer_size JSON の結果に存在する場合に返す
last_seen JSON の結果に存在する場合に返す
agent_local_time JSON の結果に存在する場合に返す
first_seen JSON の結果に存在する場合に返す
service_pack_major JSON の結果に存在する場合に返す
slow_changing_modified_timestamp JSON の結果に存在する場合に返す
service_pack_minor JSON の結果に存在する場合に返す
system_product_name JSON の結果に存在する場合に返す
product_type_desc JSON の結果に存在する場合に返す
build_number JSON の結果に存在する場合に返す
cid JSON の結果に存在する場合に返す
local_ip JSON の結果に存在する場合に返す
external_ip JSON の結果に存在する場合に返す
hostname JSON の結果に存在する場合に返す
config_id_build JSON の結果に存在する場合に返す
minor_version JSON の結果に存在する場合に返す
platform_id JSON の結果に存在する場合に返す
os_version JSON の結果に存在する場合に返す
config_id_base JSON の結果に存在する場合に返す
provision_status JSON の結果に存在する場合に返す
mac_address JSON の結果に存在する場合に返す
bios_version JSON の結果に存在する場合に返す
platform_name JSON の結果に存在する場合に返す
agent_load_flags JSON の結果に存在する場合に返す
device_id JSON の結果に存在する場合に返す
product_type JSON の結果に存在する場合に返す
agent_version JSON の結果に存在する場合に返す
JSON の結果

次の例は、Lift Contained Endpoint アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }
出力メッセージ

[Lift Contained Endpoint] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

 アクションが成功しました。
Waiting for containment lift to finish for the following endpoints: ENTITY_ID 非同期メッセージ。
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID

操作を実行できませんでした。

エンドポイントのステータスと Fail If Timeout パラメータ値を確認します。
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Lift Contained Endpoint アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ホストの脆弱性を一覧表示する

[List Host Vulnerabilities] アクションを使用して、CrowdStrike Falcon のホストで見つかった脆弱性を一覧表示します。

この操作には、Falcon Spotlight のライセンスと権限が必要です。

このアクションは次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名

アクションへの入力

List Host Vulnerabilities アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Severity Filter 省略可

脆弱性の重大度のカンマ区切りリストを指定します。何も指定しないと、アクションは関連するすべての脆弱性を取り込みます。指定できる値: Critical、High、Medium、Low、Unknown。
Create Insight 省略可

選択すると、関連する脆弱性に関する統計情報を含むエンティティごとにインサイトが作成されます。

デフォルトで選択されます。
Max Vulnerabilities To Return 省略可

ホストごとに返される脆弱性の数を指定します。何も指定しないと、アクションは関連するすべての脆弱性を処理します。

デフォルト値は 100 です。

アクションの出力

[List Host Vulnerabilities] アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

ケースウォールで、[List Host Vulnerabilities] アクションにより次のテーブルが表示されます。

タイプ: エンティティ

列:

  • 名前
  • スコア
  • 重大度
  • ステータス
  • アプリ
  • 修復あり
JSON の結果

次の例は、List Host Vulnerabilities アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}
出力メッセージ

[List Host Vulnerabilities] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully retrieved vulnerabilities for the following hosts: ENTITIES

No vulnerabilities were found for the following hosts: ENTITIES

アクションが成功しました。
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.

操作を実行できませんでした。

Severity Filter パラメータ値を確認します。
スクリプトの結果

次の表に、List Host Vulnerabilities アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ホストの一覧表示

[List Hosts] アクションを使用して、CrowdStrike Falcon で使用可能なホストを一覧表示します。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

List Hosts アクションには、次のパラメータが必要です。

パラメータ
Filter Logic 省略可

ホストの検索時に使用するロジック。

デフォルト値は Equals です。

値は次のいずれかになります。
  • Equals
  • Contains
Filter Value 省略可

ホスト フィルタリングに使用する値。
Max Hosts To Return 省略可

返されるホストの数。

デフォルト値は 50 です。

最大値は 1000 です。

アクションの出力

List Hosts アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、List Hosts アクションを使用した場合に受信される JSON 結果の出力を示しています。

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]
出力メッセージ

List Hosts アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully retrieved available hosts based on the provided criteria.

No hosts were found for the provided criteria.

 アクションが成功しました。
Error executing action "List Hosts". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、List Hosts アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アップロードされた IOC を一覧表示する

アップロードされた IOC を一覧表示するアクションを使用して、CrowdStrike Falcon で使用可能なカスタム IOC を一覧表示します。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

アップロードされた IOC を一覧表示するアクションには、次のパラメータが必要です。

パラメータ
IOC Type Filter 省略可

返される IOC タイプのカンマ区切りのリスト。

デフォルト値は ipv4,ipv6,md5,sha1,sha256,domain です。

値は次のいずれかになります。
  • ipv4
  • ipv6
  • md5
  • sha1
  • sha256
  • domain
Value Filter Logic 省略可

フィルタ ロジックの値。

デフォルト値は Equal です。

値は次のいずれかになります。
  • Equal
  • Contains

Equal が設定されている場合、アクションは IOC 間で完全一致の検索を試行します。
Contains が設定されている場合、アクションは選択した部分文字列を含む IOC の検索を試行します。
Value Filter String 省略可

IOC で検索する文字列。
Max IOCs To Return 省略可

返す IOC の数。

デフォルト値は 50 です。

最大値は 500 です。

アクションの出力

List Uploaded IOCs アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

ケースウォールで、[List Uploaded IOCs] アクションにより次の表が表示されます。

列:

  • アクション
  • 重大度
  • 署名済み
  • AV ヒット数
  • プラットフォーム
  • タグ
  • 作成日
  • 作成者

JSON の結果

次の例は、アップロードされた IOC を一覧表示するアクションを使用した場合に受信される JSON 結果の出力を示しています。

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "internal@example.com",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "internal@example.com"
        }
出力メッセージ

アップロードされた IOC を一覧表示するアクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon. アクションが成功しました。
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.

操作を実行できませんでした。

スペルと IOC Type Filter パラメータ値を確認してください。
スクリプトの結果

次の表に、アップロードされた IOC を一覧表示するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

オンデマンド スキャン

オンデマンド スキャン アクションを使用して、CrowdStrike でエンドポイントをオンデマンドでスキャンします。

このアクションは、Windows ホストと次のエンティティでのみ実行されます。

  • IP アドレス
  • ホスト名

オンデマンド スキャン アクションは非同期で実行されます。必要に応じて、Google SecOps IDE でスクリプト タイムアウト値を調整します。

アクションへの入力

オンデマンド スキャン アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
File Paths To Scan 必須

スキャンするパスのカンマ区切りのリスト。

デフォルト値は C:\Windows です。
File Paths To Exclude From Scan 省略可

スキャンから除外するパスのカンマ区切りのリスト。
Host Group Name 省略可

スキャンを開始するホストグループ名のカンマ区切りのリスト。

注: ホストグループごとに個別のスキャン プロセスが作成されます。
Scan Description 省略可

スキャンの説明。値が指定されていない場合、アクションによって説明が Scan initialized by Chronicle SecOps. に設定されます。
CPU Priority 省略可

スキャン中に基盤となるホストに使用する CPU の量。

指定できる値: Up to 1% CPU utilization、Up to 25% CPU utilization、Up to 50% CPU utilization、Up to 75% CPU utilization、Up to 100% CPU utilization。

デフォルト値は Up to 25% CPU utilization です。
Sensor Anti-malware Detection Level 省略可

センサーのマルウェア対策検出レベルを指定します。

注: 検出レベルは、防止レベル以上にする必要があります。

値は Cautious、Moderate、Aggressive、Extra Aggressive のいずれかです。

デフォルト値は Moderate です。
Sensor Anti-malware Prevention Level 省略可

センサーのマルウェア対策レベルを指定します。

注: 検出レベルは、防止レベル以上にする必要があります。

指定できる値: Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

デフォルト値は Moderate です。
Cloud Anti-malware Detection Level 省略可

クラウド マルウェア対策の検出レベルを指定します。

注: 検出レベルは、防止レベル以上にする必要があります。

値は Cautious、Moderate、Aggressive、Extra Aggressive のいずれかです。

デフォルト値は Moderate です。
Cloud Anti-malware Prevention Level 省略可

クラウド マルウェア対策の防止レベルを指定します。

注: 検出レベルは、防止レベル以上にする必要があります。

指定できる値: Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

デフォルト値は Moderate です。
Quarantine Hosts 省略可

選択すると、スキャンの一環として、基盤となるホストが隔離されます。

デフォルトでは選択されていません。
Create Endpoint Notification 省略可

選択すると、スキャン プロセスでエンドポイント通知が作成されます。

デフォルトで選択されます。
Max Scan Duration 省略可

スキャンを実行する時間数。値を指定しない場合、スキャンは継続的に実行されます。

デフォルト値は 1 です。
Hostname 省略可

アクションを実行するホスト名のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。

アクションの出力

オンデマンド スキャン アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、オンデマンド スキャン アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}
出力メッセージ

オンデマンド スキャン アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES

Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances.

None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created.

Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS

The following host groups were not found in CrowdStrike: HOST_GROUPS

None of the provided host groups were found in CrowdStrike.

Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS

アクションが成功しました。

Error executing action "On-Demand Scan". Reason: ERROR_REASON

Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、オンデマンド スキャン アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

Ping

Ping アクションを使用して、CrowdStrike Falcon への接続をテストします。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

スクリプトを実行する

スクリプトを実行アクションを使用して、CrowdStrike のエンドポイントで PowerShell スクリプトを実行します。

この操作は非同期です。必要に応じて、Google SecOps IDE でスクリプト タイムアウト値を調整します。

このアクションは、IP アドレス エンティティとホスト名エンティティに対して実行されます。

アクションへの入力

スクリプトを実行アクションには、次のパラメータが必要です。

パラメータ
Customer ID 省略可

アクションを実行するお客様の ID を指定します。
Script Name 省略可

実行する必要があるスクリプト ファイルの名前。

注: Script Name または Raw Script のいずれかを指定する必要があります。両方が指定されている場合は、Raw Script が優先されます。
Raw Script 省略可

エンドポイントで実行する必要がある未加工の PowerShell スクリプト ペイロード。

注: Script Name または Raw Script のいずれかを指定する必要があります。両方が指定されている場合は、Raw Script が優先されます。
Hostname 省略可

アクションを実行するホスト名のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Device ID 省略可

アクションを実行するデバイス ID のカンマ区切りのリスト。

注: アクションは、ケースに添付されたエンティティとこれらのパラメータ値の両方で実行されます。
Queue Offline 省略可

選択すると、オフライン ホストをターゲットとするコマンドがキューに入れられ、ホストがネットワークに再接続されると実行されます。

デフォルトでは選択されていません。

アクションの出力

スクリプトを実行アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

ケースウォールで、[Run Script] アクションにより次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Script wasn't executed on the provided endpoints in CrowdStrike.

Waiting for the scripts to finish execution on the following endpoints: ENTITIES

 アクションが成功しました。

Error executing action "Run Script". Reason: ERROR_REASON

Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、スクリプトを実行アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

検索イベント

Search Events アクションを使用して、CrowdStrike Falcon 次世代 SIEM（LogScale）リポジトリで非同期イベント検索クエリを実行します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Search Events アクションには、次のパラメータが必要です。

パラメータ
Repository 必須

検索するリポジトリ。

値は次のいずれかになります。

  • All
  • Falcon
  • Third Party
  • IT Automation
  • Forensics

デフォルト値は All です。
Query 必須

CrowdStrike で実行するクエリ。
Time Frame 省略可

結果の期間。

Custom を選択した場合は、Start Time も指定する必要があります。

値は次のいずれかになります。

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

デフォルト値は Last Hour です。
Start Time 省略可

結果の開始時刻（ISO 8601 形式）。

Time FrameでCustomが設定されている場合、このパラメータは必須です。
End Time 省略可

結果の終了時間（ISO 8601 形式）。

値が指定されず、Time Frame に Custom が設定されている場合、アクションは現在の時刻を終了時刻として使用します。
Max Results To Return 省略可

クエリに対して返される結果の最大数。

最大値は 1000 です。

デフォルト値は 50 です。

アクションの出力

Search Events アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

ケースウォールで、[Search Events] アクションにより次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully returned results for the query "{query}" in CrowdStrike.


No results were found for the query "{query}" in CrowdStrike


Waiting for the search job to finish...


 アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

Error executing action "Search Events".

Reason: {0}''.format(error.Stacktrace)


Error executing action "Search Events".

Reason: {0}''.format(message)


Error executing action "Search Events".

Reason: query Job {query id} has expired.

Please decrease the async polling interval.

操作を実行できませんでした。
スクリプトの結果

次の表に、Search Events アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ファイルの送信

[Submit File] アクションを使用して、CrowdStrike のサンドボックスにファイルを送信します。

この操作には Falcon Sandbox ライセンスが必要です。

このアクションは Google SecOps エンティティに対しては実行されません。

サポートされているファイル形式とアーカイブ形式

CrowdStrike ポータルによると、サンドボックスは次のファイル形式をサポートしています。

サポートされているファイル形式
.exe、.scr、.pif、.dll、.com、.cpl ポータブル実行可能ファイル
.doc、.docx、.ppt、.pps、.pptx、.ppsx、.xls、.xlsx、.rtf、.pub Office ドキュメント
.pdf PDF
.apk APK
.jar 実行可能な JAR
.sct Windows スクリプト コンポーネント
.lnk Windows ショートカット
.chm Windows のヘルプ
.hta HTML アプリケーション
.wsf Windows スクリプト ファイル
.js JavaScript
.vbs、.vbe Visual Basic
.swf Shockwave Flash
.pl Perl
.ps1、.psd1、.psm1 Powershell
.svg Scalable Vector Graphics
.py Python
.elf Linux ELF 実行可能ファイル
.eml メールファイル: MIME RFC 822
.msg メールファイル: Outlook

CrowdStrike ポータルによると、サンドボックスは次のアーカイブ形式をサポートしています。

  • .zip
  • .7z

アクションへの入力

Submit File アクションには、次のパラメータが必要です。

パラメータ
File Paths 必須

送信されたファイルへの絶対パスのリスト。

形式はデプロイによって異なります。

  • SaaS デプロイ - パスはホストされたプラットフォームの内部にあります。
  • リモート デプロイ - パスは、リモート エージェントがインストールされているローカルマシン上の絶対パスで有効なファイルパスである必要があります（Windows の場合は C:\temp\download、Linux の場合は /var/tmp/download/ など）。

サポートされているファイル形式の一覧については、サポートされているファイル形式とアーカイブ形式をご覧ください。
Sandbox Environment 省略可

分析対象のサンドボックス環境。

デフォルト値は Windows 10, 64-bit です。

指定できる値は次のとおりです。
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 省略可

分析するネットワーク環境。

デフォルト値は Default です。

指定できる値は次のとおりです。
  • Default
  • TOR
  • Offline
  • Simulated
Archive Password 省略可

アーカイブ ファイルを操作するときに使用するパスワード。
Document Password 省略可

Adobe または Office のファイルを操作するときに使用するパスワード。

パスワードの最大文字数は 32 文字です。
Check Duplicate 省略可

選択すると、ファイルが以前に送信されているかどうかが確認され、利用可能なレポートが返されます。

検証中、このアクションでは Network Environment パラメータと Sandbox Environment パラメータは考慮されません。

デフォルトで選択されます。
Comment 省略可

送信するコメント。
Confidential Submission 省略可

選択すると、ファイルはお客様のアカウント内のユーザーにのみ表示されます。

デフォルトでは選択されていません。

アクションの出力

[Submit File] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

ケースウォールで [Submit File] アクションを選択すると、次の表が表示されます。

列:

  • 結果
  • 名前
  • 脅威スコア
  • 判定結果
  • タグ
出力メッセージ

Submit File アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully returned details about the following files using CrowdStrike: PATHS

Action wasn't able to return details about the following files using CrowdStrike: PATHS

 アクションが成功しました。

Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files.

None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

アクションがエラーを返しました。

このアクションでサポートされているファイル形式を確認してください。
Waiting for results for the following files: PATHS 非同期メッセージ。
Error executing action "Submit File". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

操作を実行できませんでした。

IDE でタイムアウトを長くします。
スクリプトの結果

次の表に、Submit File アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

URL を送信

[Submit URL] アクションを使用して、CrowdStrike のサンドボックスに URL を送信します。

この操作には Falcon Sandbox ライセンスが必要です。サンドボックスでサポートされているファイル形式を確認するには、このドキュメントのサポートされているファイル形式とアーカイブ形式をご覧ください。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

URL を送信アクションには、次のパラメータが必要です。

パラメータ
URLs 必須

送信する URL。
Sandbox Environment 省略可

分析対象のサンドボックス環境。

デフォルト値は Windows 10, 64-bit です。

指定できる値は次のとおりです。
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 省略可

分析するネットワーク環境。

デフォルト値は Default です。

指定できる値は次のとおりです。
  • Default
  • TOR
  • Offline
  • Simulated
Check Duplicate 省略可

選択すると、URL が以前に送信されているかどうかを確認し、利用可能なレポートを返します。

検証中、このアクションでは Network Environment パラメータと Sandbox Environment パラメータは考慮されません。

デフォルトで選択されます。

アクションの出力

[Submit URL] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

[Submit URL] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully returned details about the following URLs using CrowdStrike: PATHS

Action wasn't able to return details about the following URLs using CrowdStrike: PATHS

 アクションが成功しました。
Waiting for results for the following URLs: PATHS 非同期メッセージ。
Error executing action "Submit URL". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

操作を実行できませんでした。

IDE でタイムアウトを長くします。
スクリプトの結果

次の表に、URL を送信アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アラートを更新

[Update Alert] アクションを使用して、CrowdStrike Falcon のアラートを更新します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Update Alert アクションには、次のパラメータが必要です。

パラメータ
Alert ID 必須

更新するアラートの ID。
Status Optional

アラートのステータス。

指定できる値は次のとおりです。
  • Closed
  • In Progress
  • New
  • Reopened
Verdict Optional

アラートの判定。

指定できる値は次のとおりです。
  • True Positive
  • False Positive
Assign To Optional

アラートを割り当てるアナリストの名前。

パラメータ値として Unassign を指定すると、このアクションによりアラートから割り当てが削除されます。

指定されたユーザーがシステムに存在しない場合でも、API は任意の値を受け入れます。

アクションの出力

Update Alert アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Update Alert アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
出力メッセージ

[Update Alert] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully updated alert with ID ALERT_ID in CrowdStrike アクションが成功しました。

Error executing action "Update Alert". Reason: ERROR_REASON

Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Update Alert アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

検出を更新 - 非推奨

Update Detection アクションを使用して、CrowdStrike Falcon の検出を更新します。

このアクションはすべてのエンティティに対して実行されます。

アクションへの入力

Update Detection アクションには、次のパラメータが必要です。

パラメータ 説明
Detection ID

必須。

更新する検出の ID。
Status

必須。

検出ステータス。

デフォルト値は Select One です。

指定できる値は次のとおりです。
  • Select One
  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
  • closed
Assign Detection to

省略可。

検出の割り当て先である CrowdStrike Falcon ユーザーのメールアドレス。

アクションの出力

Update Detection アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Update Detection アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. アクションが成功しました。
Error executing action "Update Detection". Reason: ERROR_REASON

操作を実行できませんでした。

サーバー、入力パラメータ、または認証情報への接続を確認してください。
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.

操作を実行できませんでした。

Status パラメータと Assign Detection To パラメータの値を確認します。
スクリプトの結果

次の表に、Update Detection アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

Identity Protection の検出を更新する

Update Identity Protection Detection を使用して、CrowdStrike の ID 保護検出を更新します。

この操作には Identity Protection ライセンスが必要です。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Update Identity Protection Detection アクションには、次のパラメータが必要です。

パラメータ
Detection ID 必須

更新する検出の ID。
Status 省略可

検出のステータス。

デフォルト値は Select One です。

値は次のいずれかになります。

  • Closed
  • Ignored
  • In Progress
  • New
  • Reopened
  • Select One
Assign to 省略可

割り当てられたアナリストの名前。

Unassign が指定されている場合、このアクションは検出から割り当て先を削除します。

無効な値が指定された場合、アクションは現在の割り当て先を変更しません。

アクションの出力

Update Identity Protection Detection アクションは、次の出力を提供します。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Update Identity Protection Detection アクションの使用時に受信した JSON 結果の出力を示しています。

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
出力メッセージ

ケースウォールで、[Update Identity Protection Detection] アクションにより、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike. アクションが成功しました。
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

操作を実行できませんでした。

スペルを確認してください。
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.

操作を実行できませんでした。

Status パラメータと Assign to パラメータの値を確認します。
スクリプトの結果

次の表に、Update Identity Protection Detection アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

インシデントの更新 - 非推奨

インシデントを更新アクションを使用して、CrowdStrike のインシデントを更新します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

インシデントの更新アクションには、次のパラメータが必要です。

パラメータ 説明
Incident ID

必須。

更新するインシデントの ID。
Status

省略可。

インシデントのステータス。

値は次のいずれかになります。

  • Closed
  • In Progress
  • New
  • Reopened
Assign to

省略可。

割り当てられたアナリストの名前またはメールアドレス。

Unassignが指定された場合、このアクションは担当者をインシデントから削除します。

名前を指定するには、アナリストの姓と名を "FIRST_NAME LAST_NAME" の形式で指定します。

アクションの出力

[Update Incident] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Update Incident アクションを使用した場合に受信される JSON 結果の出力を示しています。


 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }
出力メッセージ

[Update Incident] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully updated incident with ID INCIDENT_ID in CrowdStrike アクションが成功しました。
Error executing action "Update Incident". Reason: ERROR_REASON

操作を実行できませんでした。

接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

操作を実行できませんでした。

スペルを確認してください。
スクリプトの結果

次の表に、[Update Incident] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

IOC 情報を更新する

CrowdStrike Falcon でカスタム IOC に関する情報を更新するには、[Update IOC Information] アクションを使用します。

このアクションは、ホスト名エンティティをドメイン IOC として扱い、URL からドメイン部分を抽出します。このアクションは、MD5 ハッシュと SHA-256 ハッシュのみをサポートしています。

[Update IOC Information] アクションは、次のエンティティに対して実行されます。

  • ホスト名
  • URL
  • IP アドレス
  • ハッシュ

アクションへの入力

Update IOC Information アクションには、次のパラメータが必要です。

パラメータ
Description 省略可

カスタム IOC の新しい説明。
Source 省略可

カスタム IOC のソース。
Expiration days 省略可

有効期限までの残り日数。

このパラメータは、URL、IP アドレス、ホスト名のエンティティにのみ影響します。
Detect policy 省略可

選択すると、特定された IOC の通知が送信されます。選択しない場合、アクションは通知を送信しません。

デフォルトで選択されます。

アクションの出力

[Update IOC Information] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Update IOC Information アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "internal@example.com",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
出力メッセージ

ケースウォールで、[Update IOC Information] アクションにより、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID

 アクションが成功しました。
Error executing action "Update IOC Information". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Update IOC Information] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

IOC をアップロードする

CrowdStrike Falcon でカスタム IOC を追加するには、[Upload IOCs] アクションを使用します。

このアクションは、ホスト名エンティティをドメイン IOC として扱い、URL からドメイン部分を抽出します。このアクションは、MD5 ハッシュと SHA-256 ハッシュのみをサポートしています。

Upload IOCs アクションは、次のエンティティに対して実行されます。

  • IP アドレス
  • ホスト名
  • URL
  • ハッシュ

アクションへの入力

IOC をアップロードアクションには、次のパラメータが必要です。

パラメータ
Platform 必須

IOC に関連するプラットフォームのカンマ区切りのリスト。

デフォルト値は Windows,Linux,Mac です。

指定できる値は次のとおりです。
  • Windows
  • Linux
  • Mac
Severity 必須

IOC の重大度。

デフォルト値は Medium です。

指定できる値は次のとおりです。
  • Informational
  • Low
  • Medium
  • High
  • Critical
Comment 省略可

IOC に関連するコンテキストを含むコメント。
Host Group Name 必須

ホストグループの名前。
Action 省略可

アップロードされた IOC のアクション。

デフォルト値は Detect です。

値は次のいずれかになります。

  • Block
  • Detect

Block 値は MD5 ハッシュにのみ適用されます。このアクションでは、他のすべての IOC タイプに Detect ポリシーが常に適用されます。
Days To Expire 省略可

IOC の有効期限が切れるまでの日数。

アクションの出力

[Upload IOCs] アクションでは、次の出力が提供されます。

アクションの出力タイプ
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Upload IOCs アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID

Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

アクションが成功しました。
Error executing action "Upload IOCs". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.

操作を実行できませんでした。

Host Group Name パラメータ値を確認します。
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.

操作を実行できませんでした。

Platform パラメータ値を確認します。
スクリプトの結果

次の表に、Upload IOCs アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

コネクタ

すべての CrowdStrike コネクタに最小限の権限が構成されていることを確認します。詳細については、このドキュメントのコネクタの権限セクションをご覧ください。

Google SecOps でコネクタを構成する手順については、データを取り込む（コネクタ）をご覧ください。

CrowdStrike イベント

イベントは、ホストの Falcon センサーによって収集される情報です。CrowdStrike には、次の 4 種類のイベントがあります。

CrowdStrike のイベントタイプ
Auth アクティビティの監査イベント エンドポイントで承認がリクエスト、許可、または完了されるたびに生成されるイベント。
検出サマリー イベント エンドポイントで脅威が検出されたときに生成されるイベント。
リモート レスポンス セッション終了イベント エンドポイント上のリモート セッションから生成されたイベント。
ユーザー アクティビティの監査イベント エンドポイントでアクティブ ユーザーが実行したアクティビティをモニタリングするために生成されるイベント。

コネクタは、イベントを Google SecOps に取り込んでアラートを作成し、イベントデータでケースを拡充します。Google SecOps に取り込むイベント（すべてのイベントタイプまたは選択したイベントタイプ）を選択できます。

非推奨: CrowdStrike Detections Connector

CrowdStrike Detections Connector を使用して、CrowdStrike から検出結果を pull します。

動的リストは、CrowdStrike API でサポートされているフィルタと連動して機能します。

動的リストの操作方法

動的リストを操作する場合は、次の推奨事項に従ってください。

  • CrowdStrike FQL 言語を使用して、コネクタから送信されるフィルタを変更します。
  • フィルタごとに動的リストに個別のエントリを指定します。
  • 特定のアナリストに割り当てられたすべての検出結果を取り込むには、アナリストが次の動的リストエントリを提供していることを確認します。
    assigned_to_name:'ANALYST_USER_NAME'

動的リストは、次のパラメータをサポートしています。

サポートされるパラメータ 説明
q すべてのメタデータ フィールドを対象とした全文検索。
date_updated 最新の検出更新の日付。
assigned_to_name 検出の割り当て先のユーザー名（人が読める形式）。
max_confidence

検出に信頼レベルが異なる複数の関連する動作がある場合、このフィールドにはすべての動作の最も高い信頼値がキャプチャされます。

パラメータ値には、1 ～ 100 の任意の整数を指定できます。
detection_id 他の API（Detection Details API や Resolve Detection API など）と組み合わせて使用できる検出 ID。
max_severity

検出に、重大度レベルが異なる複数の関連する動作がある場合、このフィールドには、すべての動作の重大度の最大値がキャプチャされます。

パラメータ値には、1 ～ 100 の任意の整数を指定できます。
max_severity_displayname

検出の重大度を判断するために UI で使用される名前。

値は次のいずれかになります。

  • Critical
  • High
  • Medium
  • Low
seconds_to_triaged 検出のステータスが new から in_progress に変わるまでに必要な時間。
seconds_to_resolved 検出のステータスが new から解決済みの状態（true_positive、false_positive、ignored、closed）に変わるまでに必要な時間。
status

検出の現在のステータス。

値は次のいずれかになります。

  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
adversary_ids CrowdStrike Falcon Intelligence によって追跡される攻撃者は、検出された属性の動作またはインジケーターに関連付けられた ID を持っています。これらの ID は、Detection Details API を介してアクセス可能な検出メタデータにあります。
cid 組織のお客様 ID（CID）。

コネクタの入力

CrowdStrike Detections Connector には、次のパラメータが必要です。

パラメータ 説明
Product Field Name

必須。

Product Field 名を含むソース フィールド名。

デフォルト値は Product Name です。
Event Field Name

必須。

Event Field 名を含むソース フィールド名。

デフォルト値は behaviors_technique です。
Environment Field Name

省略可。

環境名が保存されるフィールドの名前。

環境フィールドがない場合、デフォルトの環境が使用されます。

デフォルト値は "" です。
Environment Regex Pattern

省略可。

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。
Script Timeout (Seconds)

必須。

現在のスクリプトを実行している Python プロセスのタイムアウト上限（秒単位）。

デフォルト値は 180 です。
API Root

必須。

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID

必須。

CrowdStrike アカウントのクライアント ID。
Client Secret

必須。

CrowdStrike アカウントのクライアント シークレット。
Lowest Severity Score To Fetch

省略可。

取得する検出の最も低い重大度スコア（最大 100）。

デフォルト値は 50 です。
Lowest Confidence Score To Fetch

省略可。

取得する検出の最も低い信頼スコア（最大 100）。

デフォルト値は 0 です。
Max Hours Backwards

省略可。

検出結果を取得する時間数。

デフォルト値は 1 です。
Max Detections To Fetch

省略可。

1 回のコネクタのイテレーションで処理する検出の数。

デフォルト値は 10 です。
Disable Overflow

省略可。

選択すると、コネクタはオーバーフロー メカニズムを無視します。
Verify SSL

必須。

選択すると、統合によって SSL 証明書が検証されます。
Proxy Server Address

省略可。

使用するプロキシ サーバーのアドレス。
Proxy Username

省略可。

認証に使用するプロキシのユーザー名。
Proxy Password

省略可。

認証に使用するプロキシ パスワード。
Case Name Template

省略可。

プレースホルダの形式: [FIELD_NAME ]。
Alert Name Template

省略可。

プレースホルダの形式: [FIELD_NAME ]。
Padding Period

省略可。

パディングに使用する時間数（最大 6）。
Include Hidden Alerts

省略可。

有効にすると、「非表示」というラベルが付いたアラートを取得します。
Fallback Severity

省略可。

重大度が指定されていない場合に適用されます。デフォルト: Informational。
Customer ID

省略可。

マルチテナント（MSSP）環境のお客様 ID。

コネクタルール

コネクタはプロキシをサポートしています。

コネクタ イベント

コネクタ イベントの例を次に示します。


{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}

CrowdStrike Falcon Streaming Events コネクタ

CrowdStrike Falcon Streaming Events Connector は、次のユースケースに対応しています。

  1. 検出イベントデータの取り込み。

    CrowdStrike Falcon は、エンドポイントで悪意のある SophosCleanM.exe ファイルを実行しようとする試みを検出します。CrowdStrike はオペレーションを停止し、イベントデータにファイルハッシュを含むアラートを作成します。

    ファイルの評価に関心のあるアナリストが、検出されたハッシュを VirusTotal で実行し、ハッシュが悪意のあるものであることを発見します。次のステップとして、McAfee EDR アクションによって悪意のあるファイルが隔離されます。

  2. ユーザー アクティビティ監査イベントデータの取り込み。

    CrowdStrike ユーザーの Dani が、検出ステータスを new から false-positive に更新します。このユーザー操作により、detection_update というイベント名が作成されます。

    アナリストは、Dani がアクションを誤検出としてマークした理由を把握するためにフォローアップを行い、Dani の ID に関する情報を含む取り込まれたイベントを確認します。

    次のステップとして、アナリストは Active Directory のエンティティを拡充アクションを実行して、インシデントの詳細を取得し、Dani の追跡を簡素化します。

  3. Auth アクティビティ監査イベントデータの取り込み。

    イベントは、Dani が新しいユーザー アカウントを作成し、ユーザーロールを付与したことを示します。

    イベントを調査してユーザーが作成された理由を把握するため、アナリストは Dani のユーザー ID を使用して Active Directory のエンティティを拡充アクションを実行し、Dani のユーザーロールを調べて、新規ユーザーを追加する権限があるかどうかを確認します。

  4. リモート レスポンス終了イベントデータの取り込み。

    リモート イベントは、Dani が特定のホストにリモート接続し、root ユーザーとしてコマンドを実行してウェブサーバー ディレクトリにアクセスしたことを示しています。

    Dani と関連するホストの両方に関する詳細情報を取得するため、アナリストは Active Directory アクションを実行して、ユーザーとホストの両方を拡充します。返された情報に基づいて、アナリストは、リモート接続の目的が明確になるまで Dani を停止することを決定する場合があります。

コネクタの入力

CrowdStrike Falcon Streaming Event Connector には、次のパラメータが必要です。

パラメータ
Product Field Name 必須

Product Field 名を含むソース フィールド名。

デフォルト値は device_product です。
Event Field Name 必須

Event Field 名を含むソース フィールド名。

デフォルト値は Name です。
Environment Field Name 省略可

環境名が保存されるフィールドの名前。

環境フィールドがない場合、デフォルトの環境が使用されます。

デフォルト値は "" です。
Environment Regex Pattern 省略可

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
Alert Name Template 省略可

指定すると、コネクタはこの値を Google SecOps アラート名に使用します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

注: 値を指定しない場合や、無効なテンプレートを指定した場合、コネクタはデフォルトのアラート名を使用します。コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。このパラメータでは、文字列値を持つキーのみを使用できます。
API Root 必須

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID 必須

CrowdStrike アカウントのクライアント ID。
Client Secret 必須

CrowdStrike アカウントのクライアント シークレット。
Event types 省略可

イベントタイプのカンマ区切りのリスト。

イベントタイプの例を次に示します。

  • DetectionSummaryEvent
  • IncidentSummaryEvent
  • AuthActivityAuditEvent
  • UserActivityAuditEvent
  • RemoteResponseSessionStartEvent
  • RemoteResponseSessionEndEvent
Max Days Backwards 省略可

検出結果を取得する今日より前の日数。

デフォルト値は 3 です。
Max Events Per Cycle 省略可

1 回のコネクタのイテレーションで処理するイベントの数。

デフォルト値は 10 です。
Min Severity Optional

イベントの重大度（検出イベント）に基づいて取り込むイベント。値の範囲は 0 ～ 5 です。

検出以外のイベントタイプが取り込まれた場合、その重大度は -1 に設定され、このフィルタは適用されません。
Disable Overflow Optional

選択すると、コネクタはオーバーフロー メカニズムを無視します。

デフォルトでは選択されていません。
Verify SSL 必須

選択すると、統合によって CrowdStrike サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトでは選択されていません。
Script Timeout (Seconds) 必須

現在のスクリプトを実行している Python プロセスのタイムアウト上限。

デフォルト値は 60 秒です。
Proxy Server Address 省略可

使用するプロキシ サーバーのアドレス。
Proxy Username 省略可

認証に使用するプロキシのユーザー名。
Proxy Password 省略可

認証に使用するプロキシ パスワード。
Rule Generator Template 省略可

指定すると、コネクタはこの値を Google SecOps ルール生成ツールに使用します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

値を指定しない場合、または無効なテンプレートを指定した場合、コネクタはデフォルトのルール生成ツールを使用します。

コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。

このパラメータでは、文字列値を持つキーのみを使用できます。
Customer ID Optional

コネクタを実行するテナントのお客様 ID。マルチテナント（MSSP）環境で使用します。

コネクタルール

このコネクタはプロキシをサポートしています。

このコネクタは動的リストをサポートしていません。

CrowdStrike Identity Protection Detections コネクタ

CrowdStrike Identity Protection Detections Connector を使用して、CrowdStrike から ID 保護の検出結果を pull します。動的リストは display_name パラメータと連動して機能します。

このコネクタには、Identity Protection ライセンスが必要です。

コネクタの入力

CrowdStrike Identity Protection Detections Connector には、次のパラメータが必要です。

パラメータ
Product Field Name 必須

Product Field 名を含むソース フィールド名。

デフォルト値は Product Name です。
Event Field Name 必須

Event Field 名を含むソース フィールド名。

デフォルト値は behaviors_technique です。
Environment Field Name 省略可

環境名が保存されるフィールドの名前。

環境フィールドがない場合、デフォルトの環境が使用されます。

デフォルト値は "" です。
Environment Regex Pattern 省略可

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
Script Timeout (Seconds) 必須

現在のスクリプトを実行している Python プロセスのタイムアウト上限（秒単位）。

デフォルト値は 180 です。
API Root 必須

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID 必須

CrowdStrike アカウントのクライアント ID。
Client Secret 必須

CrowdStrike アカウントのクライアント シークレット。
Lowest Severity Score To Fetch 省略可

取得する検出結果の最も低い重大度スコア。

値を指定しない場合、コネクタはこのフィルタを適用しません。

最大値は 100 です。

デフォルト値は 50 です。

このコネクタは、このパラメータの次の値もサポートしています。

  • Low
  • Medium
  • High
  • Critical
Lowest Confidence Score To Fetch 省略可

取得する検出結果の最も低い信頼スコア。

値を指定しない場合、コネクタはこのフィルタを適用しません。

最大値は 100 です。

デフォルト値は 0 です。
Max Hours Backwards 省略可

検出結果を取得する、現在からの時間数。

デフォルト値は 1 です。
Max Detections To Fetch 省略可

1 回のコネクタのイテレーションで処理する検出の数。

デフォルト値は 10 です。
Case Name Template 省略可

指定すると、コネクタは custom_case_name という新しいキーを Google SecOps イベントに追加します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

注: コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。このパラメータでは、文字列値を持つキーのみを使用できます。
Alert Name Template 省略可

指定すると、コネクタはこの値を Google SecOps アラート名に使用します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

注: 値を指定しない場合や、無効なテンプレートを指定した場合、コネクタはデフォルトのアラート名を使用します。コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。このパラメータでは、文字列値を持つキーのみが許可されます。
Disable Overflow Optional

選択すると、コネクタはオーバーフロー メカニズムを無視します。

デフォルトでは選択されていません。
Verify SSL 必須

選択すると、統合によって CrowdStrike サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトでは選択されていません。
Proxy Server Address 省略可

使用するプロキシ サーバーのアドレス。
Proxy Username 省略可

認証に使用するプロキシのユーザー名。
Proxy Password 省略可

認証に使用するプロキシ パスワード。
Customer ID Optional

コネクタを実行するテナントのお客様 ID。マルチテナント（MSSP）環境で使用します。

コネクタルール

このコネクタはプロキシをサポートしています。

コネクタ イベント

コネクタ イベントの例を次に示します。

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

非推奨: CrowdStrike Incidents Connector

CrowdStrike Incidents Connector を使用して、CrowdStrike からインシデントと関連する動作を pull します。

動的リストは、incident_type パラメータと連動して機能します。

コネクタ パラメータ

CrowdStrike Incidents Connector には、次のパラメータが必要です。

パラメータ 説明
Product Field Name

必須。

Product Field 名を含むソース フィールド名。

デフォルト値は Product Name です。
Event Field Name

必須。

Event Field 名を含むソース フィールド名。

デフォルト値は data_type です。
Environment Field Name

省略可。

環境名が保存されるフィールドの名前。見つからない場合は、デフォルトの環境が使用されます。

デフォルト値は "" です。
Environment Regex Pattern

省略可。

環境フィールド値を操作する正規表現パターン。

デフォルトの .* を使用して、未加工の値を取得します。
Script Timeout (Seconds)

必須。

Python プロセスのタイムアウト上限。

デフォルト値は 180 です。
API Root

必須。

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID

必須。

CrowdStrike アカウントのクライアント ID。
Client Secret

必須。

CrowdStrike アカウントのクライアント シークレット。
Lowest Severity Score To Fetch

省略可。

取得するインシデントの最も低い重大度スコア。Low、Medium、High、Critical、または 100 までの数値をサポートします。
Max Hours Backwards

省略可。

取得ルックバック ウィンドウ（時間単位）。

デフォルト値は 1 です。
Max Incidents To Fetch

省略可。

イテレーションあたりのインシデント数。最大値は 100 です。

デフォルト値は 10 です。
Use dynamic list as a blocklist

必須。

選択すると、動的リストがブロックリストとして機能します。
Disable Overflow

省略可。

選択すると、オーバーフロー メカニズムが無視されます。
Verify SSL

必須。

接続の SSL 証明書を検証します。
Proxy Parameters

省略可。

Proxy Server Address、Proxy Username、Proxy Password が含まれます。
Customer ID

省略可。

マルチテナント（MSSP）環境のテナント ID。

コネクタルール

このコネクタはプロキシをサポートしています。

コネクタ イベント

このコネクタは、インシデントベースと動作ベースの 2 種類のイベントをサポートしています。

例: インシデント ベースのイベント


 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

例: 行動ベースのイベント


 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike - アラート コネクタ

CrowdStrike – Alerts Connector を使用して、CrowdStrike からアラートを pull します。動的リストは、display_name パラメータと連動して機能します。

ID 保護の検出結果を取得するには、Identity Protection Detections コネクタを使用します。

コネクタの入力

CrowdStrike - Alerts Connector には、次のパラメータが必要です。

パラメータ
Product Field Name 必須

Product Field 名を含むソース フィールド名。

デフォルト値は Product Name です。
Event Field Name 必須

Event Field 名を含むソース フィールド名。

デフォルト値は product です。
Environment Field Name 省略可

環境名が保存されるフィールドの名前。

環境フィールドがない場合、デフォルトの環境が使用されます。

デフォルト値は "" です。
Environment Regex Pattern 省略可

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
Script Timeout (Seconds) 必須

現在のスクリプトを実行している Python プロセスのタイムアウト上限（秒単位）。

デフォルト値は 180 です。
API Root 必須

CrowdStrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID 必須

CrowdStrike アカウントのクライアント ID。
Client Secret 必須

CrowdStrike アカウントのクライアント シークレット。
Case Name Template 省略可

指定すると、コネクタは custom_case_name という新しいキーを Google SecOps イベントに追加します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

注: コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。このパラメータでは、文字列値を持つキーのみを使用できます。
Alert Name Template 省略可

指定すると、コネクタはこの値を Google SecOps アラート名に使用します。

プレースホルダは、[FIELD_NAME] の形式で指定できます（例: フィッシング - [event_mailbox]）。

注: 値を指定しない場合や、無効なテンプレートを指定した場合、コネクタはデフォルトのアラート名を使用します。コネクタは、プレースホルダに最初の Google SecOps イベントを使用します。このパラメータでは、文字列値を持つキーのみを使用できます。
Lowest Severity Score To Fetch 省略可

取得するインシデントの最も低い重大度スコア。

値を指定しない場合、コネクタはすべての重大度のインシデントを取り込みます。

最大値は 100 です。

コネクタは、このパラメータの次の値もサポートしています。
  • 低
  • 中
  • 高
  • 重大

CrowdStrike UI では、同じ値が 10 で割った値として表示されます。
Max Hours Backwards 省略可

インシデントを取得するまでの時間数。

デフォルト値は 1 です。
Max Alerts To Fetch 省略可

1 回のコネクタのイテレーションで処理するアラートの数。

最大値は 100 です。

デフォルト値は 10 です。
Use dynamic list as a blocklist 必須

選択すると、コネクタは動的リストを拒否リストとして使用します。

デフォルトでは選択されていません。
Disable Overflow Optional

選択すると、コネクタはオーバーフロー メカニズムを無視します。

デフォルトでは選択されていません。
Verify SSL 必須

選択すると、統合によって CrowdStrike サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトでは選択されていません。
Proxy Server Address 省略可

使用するプロキシ サーバーのアドレス。
Proxy Username 省略可

認証に使用するプロキシのユーザー名。
Proxy Password 省略可

認証に使用するプロキシ パスワード。
Customer ID Optional

コネクタを実行するテナントのお客様 ID。マルチテナント（MSSP）環境で使用します。

コネクタルール

このコネクタはプロキシをサポートしています。

コネクタ イベント

アラートに基づくイベントの例を次に示します。

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

ジョブ

ジョブの詳細については、 新しいジョブを構成すると 高度なスケジューリングをご覧ください。

Crowdstrike Falcon - アラートの同期

Crowdstrike Falcon - Sync Alerts ジョブを使用して、Google SecOps と Crowdstrike の間でコメントとステータスを双方向で同期します。

職務要件

ジョブが正しいデータを識別して同期するには、次の条件を満たす必要があります。

  • Google SecOps ケースには Crowdstrike Alert タグが含まれている必要があります。

  • アラートが Alerts Connector または Identity Protections Detection Connector から発生していない場合は、ジョブに Alert_ID アラート コンテキスト値を追加して、正しい Crowdstrike レコードを特定する必要があります。

運用ロジック

ジョブは 2 つのステージでデータを同期します。最初のステージでは、Crowdstrike データを Google SecOps アラートに同期します。2 番目のステージでは、Google SecOps アラートデータを Crowdstrike アラートに同期します。

ジョブは最初の反復処理に Max Hours Backwards を使用します。それ以降のすべてのリクエストでは、ジョブは最後に処理されたアラートの start_time を使用します。

コメント同期ロジック

このジョブは、last_update_time を使用してコメントをフィルタし、重複エントリを防止します。同期されたコメントは、次の構造を使用します。

  • Crowdstrike から送信: Crowdstrike {ticket_id}: {comment}

  • Google SecOps から送信: Google SecOps {case_id}: {comment}

Google SecOps のケースクローズ コメントも、コメントとして Crowdstrike に同期されます。

ステータスと判定のマッピング

Google SecOps でアラートがクローズされると、ジョブは対応する Crowdstrike アラートをステータス Closed で更新します。このジョブでは、アナリストの判定に次のマッピングも適用されます。

  • クローズの理由が Malicious の場合、Crowdstrike の判定は True Positive に設定されます。

  • クローズの理由が Not Malicious の場合、Crowdstrike の判定は False Positive に設定されます。

  • その他のすべてのクローズ理由の場合、ステータスは判定なしで Closed に設定されます。

ジョブ パラメータ

Crowdstrike Falcon - Sync Alerts ジョブには、次のパラメータが必要です。

パラメータ 説明
Environment Name

必須。

ジョブがアラートを検索する環境の名前。

デフォルト値は Default Environment です。
API Root

必須。

Crowdstrike インスタンスの API ルート。

デフォルト値は https://api.crowdstrike.com です。
Client ID

必須。

Crowdstrike アカウントのクライアント ID。
Client Secret

必須。

Crowdstrike アカウントのクライアント シークレット。
Max Hours Backwards

必須。

最初のジョブの反復処理中にアラートを同期する、現在の時刻より前の時間数。

デフォルト値は 24 です。
Verify SSL

必須。

選択すると、Crowdstrike サーバーへの接続時に SSL 証明書が検証されます。

デフォルトで有効になっています。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。