Integrar o CrowdStrike Falcon ao Google SecOps

Este documento explica como integrar o CrowdStrike Falcon ao Google Security Operations.

Esta integração usa um ou mais componentes de código aberto. É possível fazer o download de uma cópia do código-fonte completo dessa integração no bucket do Cloud Storage.

Casos de uso

Na plataforma Google SecOps, a integração do CrowdStrike Falcon resolve os seguintes casos de uso:

• Contenção automatizada de malware: use os recursos da plataforma Google SecOps para colocar automaticamente em quarentena o endpoint afetado, recuperar o hash do arquivo para análise posterior e evitar a disseminação de malware. A contenção automatizada de malware é ativada quando um e-mail de phishing aciona um alerta do CrowdStrike Falcon para um download de arquivo suspeito.

• Resposta acelerada a incidentes: use o Google SecOps para coletar dados contextuais, como árvores de processos e conexões de rede, isolar o host comprometido e criar um tíquete para investigação.

• Busca e investigação de ameaças: use os recursos da plataforma Google SecOps para consultar o CrowdStrike Falcon sobre ações específicas do usuário, modificações de arquivos e conexões de rede em um período definido. A busca e a investigação de ameaças permitem que os analistas de segurança investiguem uma possível ameaça interna e analisem uma atividade histórica de endpoint, simplificando o processo de investigação.

• Resposta e correção de phishing: use o CrowdStrike Falcon e a plataforma Google SecOps para verificar os anexos de e-mail, abri-los em um ambiente de sandbox e bloquear automaticamente o endereço de e-mail do remetente se uma atividade maliciosa for detectada.

• Gestão de vulnerabilidades: use os recursos da plataforma do Google SecOps para criar automaticamente tíquetes para cada sistema vulnerável, priorizá-los com base na gravidade e no valor do recurso e acionar fluxos de trabalho de aplicação de patches automatizados. A gestão de vulnerabilidades ajuda a identificar uma vulnerabilidade crítica em vários endpoints.

Antes de começar

Antes de configurar a integração no Google SecOps, siga estas etapas:

1. Configure o cliente da API CrowdStrike Falcon.

2. Configurar permissões de ação.

3. Configurar as permissões do conector.

Configurar o cliente da API CrowdStrike Falcon

Para definir um cliente de API do CrowdStrike e visualizar, criar ou modificar clientes ou chaves de API, você precisa ter um papel FalconAdministrator.

As chaves secretas só são mostradas quando você cria ou redefine um cliente de API.

Para configurar o cliente de API do CrowdStrike Falcon, siga estas etapas:

1. Na interface do Falcon, acesse Suporte e recursos > Recursos e ferramentas > Chaves e clientes de API. Nessa página, é possível encontrar clientes, adicionar novos clientes de API ou visualizar o registro de auditoria.
2. Clique em Criar cliente de API.
3. Dê um nome para o novo cliente de API.
4. Selecione os escopos de API adequados.

5. Clique em Criar. Os valores de ID do cliente e Chave secreta do cliente vão aparecer.

   Essa é a única vez que você verá o valor da chave secreta do cliente. Armazene-a em um local seguro. Se você perder a chave secreta do cliente, redefina o cliente da API e atualize todos os aplicativos que dependem da chave secreta do cliente com novas credenciais.

Para mais detalhes sobre o acesso à API CrowdStrike, consulte o guia Como acessar a API CrowdStrike no blog da CrowdStrike.

Configurar permissões de ação

Consulte as permissões mínimas para ações, conforme listado na tabela a seguir:

Ação	Permissões necessárias
Adicionar comentário de alerta	Alerts.Read Alerts.Write
Adicionar comentário à detecção	Detections.Read Detection.Write
Adicionar comentário de detecção de proteção de identidade	Alerts.Read Alerts.Write
Adicionar comentário sobre o incidente	Incidents.Write
Detecção de proximidade	Detections.Read Detection.Write
Conter endpoint	Hosts.Read Hosts.Write
Excluir IOC	IOC Management.Read IOC Management.Write
Baixar o arquivo	Hosts.Read Real time response.Read Real time response.Write
Executar comando	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write* para comandos de privilégio total.
Receber detalhes do alerta	Alerts.Read
Receber deslocamento do evento	Event streams.Read
Receber hosts por IOC	Não disponível: descontinuado
Receber informações do host	Hosts.Read
Receber o nome do processo por IOC	Não disponível: descontinuado
Ocultar hosts	Hosts.Read Hosts.Write
Endpoint contido de aumento	Hosts.Read Hosts.Write
Listar hosts	Hosts.Read
Listar vulnerabilidades do host	Hosts.Read Spotlight vulnerabilities.Read
Listar IOCs enviados	IOC Management.Read
Verificação sob demanda	On-demand scans (ODS).Read On-demand scans (ODS).Write
Ping	Hosts.Read
Executar script	Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write
Pesquisar eventos	NGSIEM.Read NGSIEM.Write
Enviar arquivo	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Enviar URL	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
Atualizar alerta	Alerts.Read Alerts.Write
Atualizar detecção	Detections.Read Detection.Write User management.Read
Atualizar a detecção de proteção de identidade	Alerts.Read Alerts.Write
Atualizar incidente	Incidents.Write
Atualizar informações de IOC	IOC Management.Read IOC Management.Write
Fazer upload de IOCs	IOC Management.Read IOC Management.Write

Configurar permissões do conector

Consulte as permissões mínimas para conectores, conforme listado na tabela a seguir:

Conector	Permissões necessárias
Conector de alertas da CrowdStrike	Alerts.Read
Conector de detecções do CrowdStrike	Detection.Read
Conector de eventos de streaming do CrowdStrike Falcon	Event streams.Read
Conector de detecções de proteção de identidade da CrowdStrike	Alerts.Read
Conector de incidentes da CrowdStrike	Incidents.Read

Endpoints

A integração do CrowdStrike Falcon interage com os seguintes endpoints de API do CrowdStrike Falcon:

Endpoints gerais da API:

• /oauth2/token

Hosts e dispositivos:

• /devices/entities/devices/v1
• /devices/entities/devices-actions/v2

Detecções e eventos:

• /detections/entities/detections/v2
• /detections/entities/summaries/GET/v1
• /protection/entities/detections/v1
• /humio/api/v1/repositories/{repository}/queryjobs
• /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

Indicadores de comprometimento (IOCs):

• /intel/entities/indicators/v1
• /intel/queries/devices/v1

Vulnerabilidades:

• /devices/combined/devices/vulnerabilities/v1

Resposta e contenção:

• /respond/entities/command-queues/v1
• /respond/entities/extracted-files/v1

Incidentes:

• /incidents/entities/incidents/GET/v1
• /incidents/entities/incidents/comments/GET/v1
• /incidents/entities/incidents/GET/v1

Análise de arquivos e URLs:

• /malware-uploads/entities/submissions/v2
• /url/entities/scans/v1

Parâmetros de integração

Para que a integração funcione corretamente, é necessária uma versão premium do CrowdStrike Falcon com todos os recursos. Algumas ações não funcionam com uma versão básica do CrowdStrike Falcon.

A integração do CrowdStrike Falcon requer os seguintes parâmetros:

Parâmetros
API Root	Uma raiz de API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com
Client API ID	Obrigatório O ID do cliente da API CrowdStrike.
Client API Secret	Obrigatório A chave secreta do cliente para a API CrowdStrike.
Verify SSL	Se selecionada, a integração verifica se o certificado SSL para se conectar ao servidor do CrowdStrike Falcon é válido. Não selecionada por padrão.
Customer ID	Opcional O ID de cliente do locatário em que a integração será executada. Para uso em ambientes multilocatários (MSSP).

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Antes de prosseguir com a configuração da integração, configure as permissões mínimas necessárias para cada item de integração. Para mais detalhes, consulte Permissões de ação.

Adicionar comentário de alerta

Use a ação Adicionar comentário de alerta para adicionar um comentário a um alerta no CrowdStrike Falcon.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar comentário ao alerta requer os seguintes parâmetros:

Parâmetros
Alert	Obrigatório O ID do alerta a ser atualizado.
Comment	Obrigatório O comentário a ser adicionado ao alerta.

Saídas da ação

A ação Adicionar comentário de alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar comentário de alerta fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike	Ação concluída.
Error executing action "Add Alert Comment". Reason: ERROR_REASON Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Adicionar comentário de alerta:

Nome do resultado do script	Valor
is_success	True ou False

Adicionar comentário à detecção (descontinuado)

Descontinuado: esta ação foi descontinuada. Use a ação Adicionar comentário de alerta.

Use a ação Adicionar comentário à detecção para adicionar um comentário à detecção no CrowdStrike Falcon.

Essa ação é executada em todas as entidades.

Entradas da ação

A ação Adicionar comentário à detecção requer os seguintes parâmetros:

Parâmetro	Descrição
Detection ID	Obrigatório. O ID da detecção em que o comentário será adicionado.
Comment	Obrigatório. O comentário a ser adicionado à detecção.

Saídas da ação

A ação Adicionar comentário à detecção fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Resultado do script	Disponível

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Adicionar comentário à detecção:

Nome do resultado do script	Valor
is_success	true ou false

Adicionar comentário de detecção de proteção de identidade

Use a ação Adicionar comentário de detecção de proteção de identidade para adicionar um comentário à detecção de proteção de identidade no CrowdStrike.

Essa ação requer uma licença de proteção de identidade.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar comentário de detecção de proteção de identidade requer os seguintes parâmetros:

Parâmetros
Detection ID	Obrigatório O ID da detecção a ser atualizada.
Comment	Obrigatório O comentário a ser adicionado à detecção.

Saídas da ação

A ação Adicionar comentário de detecção de proteção de identidade fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar comentário de detecção de proteção de identidade fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike	Ação concluída.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Falha na ação. Verifique a ortografia.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Adicionar comentário de detecção de proteção de identidade:

Nome do resultado do script	Valor
is_success	True ou False

Adicionar comentário ao incidente (descontinuado)

Descontinuado: esta ação foi descontinuada. Use a ação Atualizar alerta.

Use a ação Adicionar comentário ao incidente para adicionar um comentário a um incidente no CrowdStrike.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar comentário ao incidente requer os seguintes parâmetros:

Parâmetro	Descrição
Incident ID	Obrigatório. ID do incidente a ser atualizado.
Comment	Obrigatório. O comentário a ser adicionado ao incidente.

Saídas da ação

A ação Adicionar comentário ao incidente fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar comentário ao incidente fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added comment to the incident INCIDENT_ID in CrowdStrike	Ação concluída.
Error executing action "Add Incident Comment". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Falha na ação. Verifique a ortografia.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Adicionar comentário ao incidente:

Nome do resultado do script	Valor
is_success	True ou False

Detecção de fechamento (descontinuado)

Descontinuado: esta ação foi descontinuada. Use a ação Atualizar alerta.

Use a ação Fechar detecção para fechar uma detecção do CrowdStrike Falcon.

Observação: a ação Atualizar alerta é a prática recomendada para esse caso de uso e precisa ser usada no lugar desta ação, fornecendo o status apropriado.

Essa ação é executada em todas as entidades.

Entradas da ação

A ação Close Detection requer os seguintes parâmetros:

Parâmetro	Descrição
Detection ID	Obrigatório. O ID da detecção a ser encerrada.
Hide Detection	Opcional. Se selecionada, a ação oculta a detecção na UI. Essa configuração é selecionada por padrão.

Saídas da ação

A ação Fechar detecção fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Resultado do script	Disponível

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Close Detection:

Nome do resultado do script	Valor
is_success	True ou False

Conter endpoint

Use a ação Conter endpoint para conter o endpoint no CrowdStrike Falcon.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host

Entradas da ação

A ação Conter endpoint requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Fail If Timeout	Opcional Se selecionada e nem todos os endpoints forem contidos, a ação vai falhar. Essa configuração é selecionada por padrão.

Saídas da ação

A ação Conter endpoint fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento de entidades	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Enriquecimento de entidades

A ação Conter endpoint é compatível com a seguinte lógica de enriquecimento de entidade:

Campo de enriquecimento	Lógica
status	Retorna se ele existe no resultado JSON
modified_timestamp	Retorna se ele existe no resultado JSON
major_version	Retorna se ele existe no resultado JSON
policies	Retorna se ele existe no resultado JSON
config_id_platform	Retorna se ele existe no resultado JSON
bios_manufacturer	Retorna se ele existe no resultado JSON
system_manufacturer	Retorna se ele existe no resultado JSON
device_policies	Retorna se ele existe no resultado JSON
meta	Retorna se ele existe no resultado JSON
pointer_size	Retorna se ele existe no resultado JSON
last_seen	Retorna se ele existe no resultado JSON
agent_local_time	Retorna se ele existe no resultado JSON
first_seen	Retorna se ele existe no resultado JSON
service_pack_major	Retorna se ele existe no resultado JSON
slow_changing_modified_timestamp	Retorna se ele existe no resultado JSON
service_pack_minor	Retorna se ele existe no resultado JSON
system_product_name	Retorna se ele existe no resultado JSON
product_type_desc	Retorna se ele existe no resultado JSON
build_number	Retorna se ele existe no resultado JSON
cid	Retorna se ele existe no resultado JSON
local_ip	Retorna se ele existe no resultado JSON
external_ip	Retorna se ele existe no resultado JSON
hostname	Retorna se ele existe no resultado JSON
config_id_build	Retorna se ele existe no resultado JSON
minor_version	Retorna se ele existe no resultado JSON
platform_id	Retorna se ele existe no resultado JSON
os_version	Retorna se ele existe no resultado JSON
config_id_base	Retorna se ele existe no resultado JSON
provision_status	Retorna se ele existe no resultado JSON
mac_address	Retorna se ele existe no resultado JSON
bios_version	Retorna se ele existe no resultado JSON
platform_name	Retorna se ele existe no resultado JSON
agent_load_flags	Retorna se ele existe no resultado JSON
device_id	Retorna se ele existe no resultado JSON
product_type	Retorna se ele existe no resultado JSON
agent_version	Retorna se ele existe no resultado JSON

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Conter endpoint:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}

Mensagens de saída

A ação Conter endpoint fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Contain Endpoint". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID	Falha na ação. Verifique o status do endpoint e o valor do parâmetro Fail If Timeout.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Contain Endpoint:

Nome do resultado do script	Valor
is_success	True ou False

Excluir IOC

Use a ação Excluir IOC para excluir IOCs personalizados no CrowdStrike Falcon.

Essa ação trata as entidades de nome do host como IOCs de domínio e extrai a parte do domínio dos URLs. Essa ação só é compatível com os hashes MD5 e SHA-256.

A ação Excluir IOC é executada nas seguintes entidades:

• Endereço IP
• Nome do host
• URL
• Hash

Entradas da ação

Nenhuma.

Saídas da ação

A ação Excluir IOC fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Excluir IOC:

Nome do resultado do script	Valor
is_success	True ou False

Mensagens de saída

Em um mural de casos, a ação Excluir IOC fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID All of the provided IOCs were not a part of CrowdStrike Falcon instance.	Ação concluída.
Error executing action "Delete IOC". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Baixar o arquivo

Use a ação Fazer download do arquivo para baixar arquivos dos hosts no CrowdStrike Falcon.

Essa ação exige que o nome do arquivo e o endereço IP ou uma entidade de nome do host estejam no escopo do alerta do Google SecOps.

O arquivo baixado está em um pacote ZIP protegido por senha. Para acessar o arquivo, forneça a seguinte senha: infected.

A ação Fazer download do arquivo é executada nas seguintes entidades:

• Filename
• Endereço IP
• Host

Entradas da ação

A ação Fazer download do arquivo requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Download Folder Path	Obrigatório O caminho para a pasta que armazena o arquivo baixado. O formato depende da implantação: Implantação de SaaS: o caminho é interno à plataforma hospedada. Implantação remota: o caminho precisa ser um caminho de diretório absoluto e válido na máquina local em que o agente remoto está instalado (como C:\temp\download para Windows ou /var/tmp/download/ para Linux).
Overwrite	Obrigatório Se selecionada, a ação substitui o arquivo com o mesmo nome. Não selecionada por padrão.

Saídas da ação

A ação Fazer download do arquivo fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de entidades	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela de entidades

A ação Fazer download do arquivo fornece a seguinte tabela de entidades:

Entidade
filepath	Caminho absoluto para o arquivo.

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Fazer download do arquivo:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}

Mensagens de saída

A ação Fazer o download do arquivo fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Download File". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.	Falha na ação. Verifique o valor do parâmetro Overwrite ou exclua o arquivo.
Waiting for results for the following entities: ENTITY_ID	Mensagem assíncrona.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Fazer o download do arquivo:

Nome do resultado do script	Valor
is_success	True ou False

Executar comando

Use a ação Executar comando para executar comandos nos hosts no CrowdStrike Falcon.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host

Entradas da ação

A ação Executar comando requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Command	Obrigatório Especifique o comando a ser executado nos hosts.
Admin Command	Opcional Se selecionada, a ação executa comandos com permissões administrativas. Isso é necessário para comandos específicos, como put. Não selecionada por padrão.
Hostname	Opcional Lista separada por vírgulas de nomes de host em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Queue Offline	Opcional Se selecionada, os comandos direcionados a hosts off-line serão colocados em fila e executados quando o host se reconectar à rede. Não selecionada por padrão.

Saídas da ação

A ação Executar comando fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

Em um mural de casos, a ação Executar comando fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Execute Command". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Waiting for results for the following entities: ENTITY_ID	Mensagem assíncrona.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Executar comando:

Nome do resultado do script	Valor
is_success	True ou False

Receber detalhes do alerta

Use a ação Receber detalhes do alerta para recuperar os detalhes de um alerta no CrowdStrike Falcon.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Alert Details requer os seguintes parâmetros:

Parâmetro	Descrição
Alert ID	Obrigatório. O ID exclusivo do alerta de que os detalhes serão recuperados.

Saídas da ação

A ação Receber detalhes do alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Receber detalhes do alerta:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "[e-mail]",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Mensagens de saída

A ação Receber detalhes do alerta pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.	A ação foi concluída.
Error executing action "Get Alert Details". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber detalhes do alerta:

Nome do resultado do script	Valor
is_success	true ou false

Receber deslocamento do evento

Use a ação Get Event Offset para recuperar o deslocamento de evento usado pelo conector de eventos de streaming.

Essa ação começa a processar eventos de 30 dias atrás.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Event Offset requer os seguintes parâmetros:

Parâmetros
Max Events To Process	Obrigatório O número de eventos que a ação precisa processar a partir de 30 dias atrás. O valor padrão é 10000.

Saídas da ação

A ação Get Event Offset fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Get Event Offset:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}

Mensagens de saída

A ação Get Event Offset fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved event offset in CrowdStrike Falcon.	Ação concluída.
Error executing action "Get Event Offset". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Get Event Offset:

Nome do resultado do script	Valor
is_success	True ou False

Receber informações do host

Use a ação Get Host Information para recuperar informações sobre o nome do host do CrowdStrike Falcon.

Essa ação é executada nas seguintes entidades:

• Nome do host
• Endereço IP

Entradas da ação

A ação Get Host Information requer os seguintes parâmetros:

Parâmetros
Hostname	Opcional Uma lista separada por vírgulas de nomes de host para ocultar no CrowdStrike Falcon. A ação processa os valores de entrada fornecidos nesse parâmetro e as entidades de nome do host e endereço IP anexadas ao caso.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Customer ID	Opcional O ID de cliente (CID) exclusivo da CrowdStrike usado para segmentar um locatário específico. Esse parâmetro é obrigatório no Falcon Flight Control ou em ambientes multilocatários para realizar a ação em um CID filho específico.

Saídas da ação

A ação Get Host Information fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento de entidades	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Enriquecimento de entidades

A ação Get Host Information é compatível com a seguinte lógica de enriquecimento de entidade:

Campo de enriquecimento	Lógica
modified_timestamp	Retorna se ele existe no resultado JSON
major_version	Retorna se ele existe no resultado JSON
site_name	Retorna se ele existe no resultado JSON
platform_id	Retorna se ele existe no resultado JSON
config_id_platform	Retorna se ele existe no resultado JSON
system_manufacturer	Retorna se ele existe no resultado JSON
meta	Retorna se ele existe no resultado JSON
first_seen	Retorna se ele existe no resultado JSON
service_pack_minor	Retorna se ele existe no resultado JSON
product_type_desc	Retorna se ele existe no resultado JSON
build_number	Retorna se ele existe no resultado JSON
hostname	Retorna se ele existe no resultado JSON
config_id_build	Retorna se ele existe no resultado JSON
minor_version	Retorna se ele existe no resultado JSON
os_version	Retorna se ele existe no resultado JSON
provision_status	Retorna se ele existe no resultado JSON
mac_address	Retorna se ele existe no resultado JSON
bios_version	Retorna se ele existe no resultado JSON
agent_load_flags	Retorna se ele existe no resultado JSON
status	Retorna se ele existe no resultado JSON
bios_manufacturer	Retorna se ele existe no resultado JSON
machine_domain	Retorna se ele existe no resultado JSON
agent_local_time	Retorna se ele existe no resultado JSON
slow_changing_modified_timestamp	Retorna se ele existe no resultado JSON
service_pack_major	Retorna se ele existe no resultado JSON
device_id	Retorna se ele existe no resultado JSON
system_product_name	Retorna se ele existe no resultado JSON
product_type	Retorna se ele existe no resultado JSON
local_ip	Retorna se ele existe no resultado JSON
external_ip	Retorna se ele existe no resultado JSON
cid	Retorna se ele existe no resultado JSON
platform_name	Retorna se ele existe no resultado JSON
config_id_base	Retorna se ele existe no resultado JSON
last_seen	Retorna se ele existe no resultado JSON
pointer_size	Retorna se ele existe no resultado JSON
agent_version	Retorna se ele existe no resultado JSON

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Get Host Information:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]

Mensagens de saída

A ação Get Host Information fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Get Host Information". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Get Host Information:

Nome do resultado do script	Valor
is_success	True ou False

Receber hosts por IOC: descontinuado

Descontinuado: esta ação foi descontinuada.

Lista os hosts relacionados aos IOCs no CrowdStrike Falcon. Entidades compatíveis: nome do host, URL, endereço IP e hash.
Observação: as entidades de nome de host são tratadas como IOCs de domínio. A ação extrai a parte do domínio dos URLs. Somente os hashes MD5 e SHA-256 são compatíveis.

Entidades

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host
• URL
• Hash

Entradas da ação

N/A

Saídas da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success:False

Resultado JSON

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
  

Enriquecimento de entidades

Campo de enriquecimento	Lógica
modified_timestamp	Retorna se existir no resultado JSON
major_version	Retorna se existir no resultado JSON
site_name	Retorna se existir no resultado JSON
platform_id	Retorna se existir no resultado JSON
config_id_platform	Retorna se existir no resultado JSON
system_manufacturer	Retorna se existir no resultado JSON
meta	Retorna se existir no resultado JSON
first_seen	Retorna se existir no resultado JSON
service_pack_minor	Retorna se existir no resultado JSON
product_type_desc	Retorna se existir no resultado JSON
build_number	Retorna se existir no resultado JSON
nome do host	Retorna se existir no resultado JSON
config_id_build	Retorna se existir no resultado JSON
minor_version	Retorna se existir no resultado JSON
os_version	Retorna se existir no resultado JSON
provision_status	Retorna se existir no resultado JSON
mac_address	Retorna se existir no resultado JSON
bios_version	Retorna se existir no resultado JSON
agent_load_flags	Retorna se existir no resultado JSON
status	Retorna se existir no resultado JSON
bios_manufacturer	Retorna se existir no resultado JSON
machine_domain	Retorna se existir no resultado JSON
Device_policies	Retorna se existir no resultado JSON
agent_local_time	Retorna se existir no resultado JSON
slow_changing_modified_timestamp	Retorna se existir no resultado JSON
service_pack_major	Retorna se existir no resultado JSON
system_product_name	Retorna se existir no resultado JSON
product_type	Retorna se existir no resultado JSON
local_ip	Retorna se existir no resultado JSON
external_ip	Retorna se existir no resultado JSON
cid	Retorna se existir no resultado JSON
platform_name	Retorna se existir no resultado JSON
config_id_base	Retorna se existir no resultado JSON
políticas	Retorna se existir no resultado JSON
last_seen	Retorna se existir no resultado JSON
pointer_size	Retorna se existir no resultado JSON
agent_version	Retorna se existir no resultado JSON

Insight de entidade

N/A

Mural do caso

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem interromper a execução de um playbook: Se for bem-sucedida e pelo menos um host relacionado aos IOCs fornecidos for encontrado (is_success=true): "Os hosts relacionados aos IOCs fornecidos no CrowdStrike Falcon foram recuperados." Se nenhum host relacionado for encontrado (is_success=false): "Nenhum host foi relacionado aos IOCs fornecidos no CrowdStrike Falcon". A ação deve falhar e interromper a execução de um playbook: Se um erro crítico for relatado: "Erro ao executar a ação "{action name}". Motivo: {traceback}."	Geral

Receber o nome do processo por IOC: descontinuado

Descontinuado: esta ação foi descontinuada.

Recuperar processos relacionados aos IOCs e aos dispositivos fornecidos no CrowdStrike Falcon. Entidades compatíveis: nome do host, URL, endereço IP e hash.
Observação: as entidades de nome de host são tratadas como IOCs de domínio. A ação extrai a parte do domínio dos URLs. Somente os hashes MD5, SHA-1 e SHA-256 são compatíveis. As entidades de endereço IP são tratadas como IOCs.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nomes dos dispositivos	11	N/A	Sim	Especifique uma lista separada por vírgulas de dispositivos para os quais você quer recuperar processos relacionados a entidades.

Corrida

Essa ação é executada nas seguintes entidades:

• Nome do host
• URL
• Hash

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/falso	is_success:False

Resultado do JSON

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
  

Enriquecimento de entidades

Nome do campo de enriquecimento	Lógica: quando aplicar
Nome do processo	Retorna se existir no resultado JSON
Indicador	Retorna se existir no resultado JSON
Nome do host	Retorna se existir no resultado JSON

Insights de entidades

N/A

Painel de casos

Tipo de resultado	Valor / Descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem interromper a execução de um playbook: Se forem encontrados processos relacionados a entidades para pelo menos um endpoint (is_success=true): "Os processos relacionados aos IOCs nos seguintes endpoints no CrowdStrike Falcon foram recuperados: {device name}." Se nenhum processo for encontrado para pelo menos um endpoint ou o dispositivo não for encontrado (is_success=true): "Nenhum processo relacionado foi encontrado nos seguintes endpoints no CrowdStrike Falcon: {nome do dispositivo}." Se nenhum processo for encontrado para todos os endpoints ou nenhum dos dispositivos for encontrado (is_success=false): "Nenhum processo relacionado foi encontrado nos endpoints fornecidos no CrowdStrike Falcon. A ação deve falhar e interromper a execução de um playbook: Se um erro crítico for relatado : "Erro ao executar "{action name}". Motivo: {trace back}."

Ocultar hosts

Use a ação Ocultar hosts para ocultar um ou mais hosts do console do CrowdStrike Falcon.

Essa ação é executada nas seguintes entidades do Google SecOps:

• Nome do host
• Endereço IP

Entradas da ação

A ação Ocultar hosts requer os seguintes parâmetros:

Parâmetro	Descrição
Hostname	Opcional. Uma lista separada por vírgulas de nomes de host para ocultar no CrowdStrike Falcon. A ação processa os valores de entrada fornecidos nesse parâmetro e as entidades Hostname e IP Address anexadas ao caso.
Customer ID	Opcional. O ID de cliente (CID) exclusivo da CrowdStrike usado para segmentar um locatário específico. Esse parâmetro é obrigatório no Falcon Flight Control ou em ambientes multilocatários para realizar a ação em um CID filho específico.

Saídas da ação

A ação Ocultar hosts fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento de entidades	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Ocultar hosts fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully hid the following hosts in Crowdstrike: HOSTS. Action wasn't able to hide the following hosts in Crowdstrike: HOSTS. None of the provided hosts were hidden.	A ação foi concluída.
Error executing action "Hide Host". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Ocultar hosts:

Nome do resultado do script	Valor
is_success	true ou false

Endpoint contido de aumento

Use a ação Lift Contained Endpoint para suspender uma contenção de endpoint no CrowdStrike Falcon.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host

Entradas da ação

A ação Lift Contained Endpoint requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Fail If Timeout	Opcional Se selecionada e a contenção não tiver sido suspensa em todos os endpoints, a ação vai falhar. Essa configuração é selecionada por padrão.

Saídas da ação

A ação Lift Contained Endpoint fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento de entidades	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Enriquecimento de entidades

A ação Lift Contained Endpoint é compatível com o seguinte enriquecimento de entidade:

Campo de enriquecimento	Lógica
status	Retorna se ele existe no resultado JSON
modified_timestamp	Retorna se ele existe no resultado JSON
major_version	Retorna se ele existe no resultado JSON
config_id_platform	Retorna se ele existe no resultado JSON
system_manufacturer	Retorna se ele existe no resultado JSON
device_policies	Retorna se ele existe no resultado JSON
meta	Retorna se ele existe no resultado JSON
pointer_size	Retorna se ele existe no resultado JSON
last_seen	Retorna se ele existe no resultado JSON
agent_local_time	Retorna se ele existe no resultado JSON
first_seen	Retorna se ele existe no resultado JSON
service_pack_major	Retorna se ele existe no resultado JSON
slow_changing_modified_timestamp	Retorna se ele existe no resultado JSON
service_pack_minor	Retorna se ele existe no resultado JSON
system_product_name	Retorna se ele existe no resultado JSON
product_type_desc	Retorna se ele existe no resultado JSON
build_number	Retorna se ele existe no resultado JSON
cid	Retorna se ele existe no resultado JSON
local_ip	Retorna se ele existe no resultado JSON
external_ip	Retorna se ele existe no resultado JSON
hostname	Retorna se ele existe no resultado JSON
config_id_build	Retorna se ele existe no resultado JSON
minor_version	Retorna se ele existe no resultado JSON
platform_id	Retorna se ele existe no resultado JSON
os_version	Retorna se ele existe no resultado JSON
config_id_base	Retorna se ele existe no resultado JSON
provision_status	Retorna se ele existe no resultado JSON
mac_address	Retorna se ele existe no resultado JSON
bios_version	Retorna se ele existe no resultado JSON
platform_name	Retorna se ele existe no resultado JSON
agent_load_flags	Retorna se ele existe no resultado JSON
device_id	Retorna se ele existe no resultado JSON
product_type	Retorna se ele existe no resultado JSON
agent_version	Retorna se ele existe no resultado JSON

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Lift Contained Endpoint:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }

Mensagens de saída

A ação Lift Contained Endpoint fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID	Mensagem assíncrona.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID	Falha na ação. Verifique o status do endpoint e o valor do parâmetro Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Lift Contained Endpoint:

Nome do resultado do script	Valor
is_success	True ou False

Listar vulnerabilidades do host

Use a ação Listar vulnerabilidades do host para listar as vulnerabilidades encontradas no host no CrowdStrike Falcon.

Essa ação requer uma licença e permissões do Falcon Spotlight.

Essa ação é executada nas seguintes entidades:

• Endereço IP
• Nome do host

Entradas da ação

A ação Listar vulnerabilidades do host requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Severity Filter	Opcional Especifique uma lista separada por vírgulas de gravidades para vulnerabilidades. Se nada for fornecido, a ação vai ingerir todas as vulnerabilidades relacionadas. Valores possíveis: Critical, High, Medium, Low, Unknown.
Create Insight	Opcional Se selecionada, a ação cria um insight por entidade com informações estatísticas sobre vulnerabilidades relacionadas. Essa configuração é selecionada por padrão.
Max Vulnerabilities To Return	Opcional Especifique quantas vulnerabilidades retornar por host. Se nada for fornecido, a ação vai processar todas as vulnerabilidades relacionadas. O valor padrão é 100.

Saídas da ação

A ação Listar vulnerabilidades do host fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do painel de casos

Em um mural de casos, a ação Listar vulnerabilidades do host fornece a seguinte tabela:

Tipo: entidade

Colunas:

• Nome
• Pontuação
• Gravidade
• Status
• App
• Tem correção

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar vulnerabilidades do host:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}

Mensagens de saída

A ação Listar vulnerabilidades do host fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found for the following hosts: ENTITIES	Ação concluída.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	Falha na ação. Verifique o valor do parâmetro Severity Filter.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Listar vulnerabilidades do host:

Nome do resultado do script	Valor
is_success	True ou False

Listar hosts

Use a ação Listar hosts para listar os hosts disponíveis no CrowdStrike Falcon.

Essa ação é executada em todas as entidades.

Entradas da ação

A ação Listar hosts requer os seguintes parâmetros:

Parâmetros
Filter Logic	Opcional Uma lógica a ser usada ao pesquisar hosts. O valor padrão é Equals. Os valores possíveis são os seguintes: Equals Contains
Filter Value	Opcional Um valor a ser usado para filtragem de host.
Max Hosts To Return	Opcional O número de hosts que serão retornados. O valor padrão é 50. O valor máximo é 1000.

Saídas da ação

A ação Listar hosts fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar hosts:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]

Mensagens de saída

A ação Listar hosts fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved available hosts based on the provided criteria. No hosts were found for the provided criteria.	Ação concluída.
Error executing action "List Hosts". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Listar hosts:

Nome do resultado do script	Valor
is_success	True ou False

Listar IOCs enviados

Use a ação Listar IOCs enviados para listar os IOCs personalizados disponíveis no CrowdStrike Falcon.

Essa ação é executada em todas as entidades.

Entradas da ação

A ação Listar IOCs enviados requer os seguintes parâmetros:

Parâmetros
IOC Type Filter	Opcional Uma lista separada por vírgulas de tipos de IOC a serem retornados. O valor padrão é ipv4,ipv6,md5,sha1,sha256,domain. Os valores possíveis são os seguintes: ipv4 ipv6 md5 sha1 sha256 domain
Value Filter Logic	Opcional Um valor da lógica de filtro. O valor padrão é Equal. Os valores possíveis são os seguintes: Equal Contains Se Equal estiver definido, a ação vai tentar encontrar a correspondência exata entre os IOCs. Se Contains estiver definido, a ação vai tentar encontrar IOCs que contenham a substring selecionada.
Value Filter String	Opcional Uma string para pesquisar entre os IOCs.
Max IOCs To Return	Opcional O número de IOCs a serem retornados. O valor padrão é 50. O valor máximo é 500.

Saídas da ação

A ação Listar IOCs enviados fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do painel de casos

Em um mural de casos, a ação Listar IOCs enviados fornece a seguinte tabela:

Colunas:

• Ação
• Gravidade
• Assinado
• AVs
• Plataformas
• Tags
• Criado em
• Criado por

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar IOCs enviados:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "[e-mail]",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "[e-mail]"
        }

Mensagens de saída

A ação Listar IOCs enviados fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon.	Ação concluída.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.	Falha na ação. Verifique a ortografia e o valor do parâmetro IOC Type Filter.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Listar IOCs enviados:

Nome do resultado do script	Valor
is_success	True ou False

Verificação sob demanda

Use a ação On-Demand Scan para verificar o endpoint sob demanda no CrowdStrike.

Essa ação só é executada em hosts do Windows e nas seguintes entidades:

• Endereço IP
• Nome do host

A ação Verificação sob demanda é executada de forma assíncrona. Ajuste o valor do tempo limite do script no ambiente de desenvolvimento integrado do Google SecOps, se necessário.

Entradas da ação

A ação Verificação sob demanda requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
File Paths To Scan	Obrigatório Lista separada por vírgulas de caminhos a serem verificados. O valor padrão é C:\Windows.
File Paths To Exclude From Scan	Opcional Lista separada por vírgulas de caminhos a serem excluídos da verificação.
Host Group Name	Opcional Lista separada por vírgulas de nomes de grupos de hosts para iniciar a verificação. Observação: um processo de verificação separado é criado para cada grupo de hosts.
Scan Description	Opcional Descrição da verificação. Se nenhum valor for fornecido, a ação vai definir a descrição como Scan initialized by Chronicle SecOps..
CPU Priority	Opcional A quantidade de CPU a ser usada para o host subjacente durante a verificação. Valores possíveis: Up to 1% CPU utilization, Up to 25% CPU utilization, Up to 50% CPU utilization, Up to 75% CPU utilization, Up to 100% CPU utilization. O valor padrão é Up to 25% CPU utilization.
Sensor Anti-malware Detection Level	Opcional Especifique o nível de detecção antimalware do sensor. Observação: o nível de detecção precisa ser igual ou maior que o nível de prevenção. Valores possíveis: Cautious, Moderate, Aggressive, Extra Aggressive. O valor padrão é Moderate.
Sensor Anti-malware Prevention Level	Opcional Especifique o nível de prevenção antimalware do sensor. Observação: o nível de detecção precisa ser igual ou maior que o nível de prevenção. Valores possíveis: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. O valor padrão é Moderate.
Cloud Anti-malware Detection Level	Opcional Especifique o nível de detecção de antimalware na nuvem. Observação: o nível de detecção precisa ser igual ou maior que o nível de prevenção. Valores possíveis: Cautious, Moderate, Aggressive, Extra Aggressive. O valor padrão é Moderate.
Cloud Anti-malware Prevention Level	Opcional Especifique o nível de prevenção contra malware na nuvem. Observação: o nível de detecção precisa ser igual ou maior que o nível de prevenção. Valores possíveis: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. O valor padrão é Moderate.
Quarantine Hosts	Opcional Se selecionada, os hosts subjacentes serão colocados em quarentena como parte da verificação. Não selecionada por padrão.
Create Endpoint Notification	Opcional Se selecionado, o processo de verificação cria uma notificação de endpoint. Essa configuração é selecionada por padrão.
Max Scan Duration	Opcional Número de horas para uma verificação ser executada. Se nenhum valor for fornecido, a verificação será executada continuamente. O valor padrão é 1.
Hostname	Opcional Lista separada por vírgulas de nomes de host em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.

Saídas da ação

A ação Verificação sob demanda fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Verificação on demand:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}

Mensagens de saída

A ação Verificação sob demanda fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances. None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created. Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS The following host groups were not found in CrowdStrike: HOST_GROUPS None of the provided host groups were found in CrowdStrike. Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS	Ação concluída.
Error executing action "On-Demand Scan". Reason: ERROR_REASON Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Verificação on demand:

Nome do resultado do script	Valor
is_success	True ou False

Ping

Use a ação Ping para testar a conectividade com o CrowdStrike Falcon.

Essa ação é executada em todas as entidades.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Resultado do script	Disponível

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
is_success	True ou False

Executar script

Use a ação Executar script para executar um script do PowerShell nos endpoints no CrowdStrike.

Essa ação é assíncrona. Ajuste o valor de tempo limite do script no ambiente de desenvolvimento integrado do Google SecOps, se necessário.

Essa ação é executada nas entidades de endereço IP e nome do host.

Entradas da ação

A ação Executar script requer os seguintes parâmetros:

Parâmetros
Customer ID	Opcional Especifique o ID do cliente para o qual você quer executar a ação.
Script Name	Opcional O nome do arquivo de script que precisa ser executado. Observação: é necessário fornecer Script Name ou Raw Script. Se ambos forem fornecidos, Raw Script terá prioridade.
Raw Script	Opcional Payload de script bruto do PowerShell que precisa ser executado nos endpoints. Observação: é necessário fornecer Script Name ou Raw Script. Se ambos forem fornecidos, Raw Script terá prioridade.
Hostname	Opcional Lista separada por vírgulas de nomes de host em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Device ID	Opcional Lista separada por vírgulas de IDs de dispositivos em que você quer executar a ação. Observação: a ação é executada nas entidades anexadas ao caso e nesses valores de parâmetro.
Queue Offline	Opcional Se selecionada, os comandos direcionados a hosts off-line serão colocados em fila e executados quando o host se reconectar à rede. Não selecionada por padrão.

Saídas da ação

A ação Executar script fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

Em um Painel de casos, a ação Executar script fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Script wasn't executed on the provided endpoints in CrowdStrike. Waiting for the scripts to finish execution on the following endpoints: ENTITIES	Ação concluída.
Error executing action "Run Script". Reason: ERROR_REASON Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Executar script:

Nome do resultado do script	Valor
is_success	True ou False

Pesquisar eventos

Use a ação Pesquisar eventos para executar consultas de pesquisa de eventos assíncronas em repositórios do SIEM de última geração (LogScale) do CrowdStrike Falcon.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar eventos requer os seguintes parâmetros:

Parâmetros
Repository	Obrigatório Um repositório para pesquisar. Os valores possíveis são os seguintes: All Falcon Third Party IT Automation Forensics O valor padrão é All.
Query	Obrigatório Uma consulta a ser executada no CrowdStrike. Observação: não forneça head como parte da consulta.
Time Frame	Opcional O período dos resultados. Se Custom estiver selecionado, você também precisará fornecer Start Time. Os valores possíveis são os seguintes: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom O valor padrão é Last Hour.
Start Time	Opcional O horário de início dos resultados no formato ISO 8601. Se Custom estiver definido em Time Frame, esse parâmetro será obrigatório.
End Time	Opcional O horário de término dos resultados no formato ISO 8601. Se nenhum valor for fornecido e Custom estiver definido em Time Frame, a ação usará o horário atual como o horário de término.
Max Results To Return	Opcional O número máximo de resultados a serem retornados para a consulta. O valor máximo é 1000. O valor padrão é 50.

Saídas da ação

A ação Pesquisar eventos fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

Em um Painel de Casos, a ação Pesquisar Eventos fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned results for the query "{query}" in CrowdStrike. No results were found for the query "{query}" in CrowdStrike Waiting for the search job to finish...	A ação não deve falhar nem interromper a execução de um playbook.
Error executing action "Search Events". Reason: {0}''.format(error.Stacktrace) Error executing action "Search Events". Reason: {0}''.format(message) Error executing action "Search Events". Reason: query Job {query id} has expired. Please decrease the async polling interval.	Falha na ação.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Pesquisar eventos:

Nome do resultado do script	Valor
is_success	True ou False

Enviar arquivo

Use a ação Enviar arquivo para enviar arquivos a um sandbox no CrowdStrike.

Essa ação requer uma licença do Falcon Sandbox.

Essa ação não é executada em entidades do Google SecOps.

Formatos de arquivo e arquivo compactado compatíveis

De acordo com o portal do CrowdStrike, o sandbox é compatível com os seguintes formatos de arquivo:

Formatos de arquivo compatíveis
.exe, .scr, .pif, .dll, .com, .cpl	Executáveis portáteis
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub	Documentos do Microsoft Office
.pdf	PDF
.apk	APK
.jar	JAR executável
.sct	Componente de script do Windows
.lnk	Atalho do Windows
.chm	Ajuda do Windows
.hta	Aplicativo HTML
.wsf	Arquivo de script do Windows
.js	JavaScript
.vbs, .vbe	Visual Basic
.swf	Shockwave Flash
.pl	Perl
.ps1, .psd1, .psm1	Powershell
.svg	Elementos gráficos vetoriais escaláveis
.py	Python
.elf	Executáveis ELF do Linux
.eml	Arquivos de e-mail: MIME RFC 822
.msg	Arquivos de e-mail: Outlook

De acordo com o portal do CrowdStrike, o sandbox é compatível com os seguintes formatos de arquivo:

• .zip
• .7z

Entradas da ação

A ação Enviar arquivo requer os seguintes parâmetros:

Parâmetros
File Paths	Obrigatório Uma lista de caminhos absolutos para os arquivos enviados. O formato depende da implantação: Implantação de SaaS: os caminhos são internos à plataforma hospedada. Implantação remota: os caminhos precisam ser absolutos e válidos na máquina local em que o agente remoto está instalado (por exemplo, C:\temp\download para Windows ou /var/tmp/download/ para Linux). Para uma lista dos formatos de arquivo compatíveis, consulte Formatos de arquivo compatíveis.
Sandbox Environment	Opcional Um ambiente de sandbox para análise. O valor padrão é Windows 10, 64-bit. Os possíveis valores são os seguintes: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opcional Um ambiente de rede para analisar. O valor padrão é Default. Os possíveis valores são os seguintes: Default TOR Offline Simulated
Archive Password	Opcional Uma senha para usar ao trabalhar com arquivos de arquivo.
Document Password	Opcional Uma senha para usar ao trabalhar com arquivos da Adobe ou do Office. O tamanho máximo da senha é de 32 caracteres.
Check Duplicate	Opcional Se selecionada, a ação verifica se o arquivo já foi enviado anteriormente e retorna o relatório disponível. Durante a validação, a ação não considera os parâmetros Network Environment e Sandbox Environment . Essa configuração é selecionada por padrão.
Comment	Opcional Um comentário para enviar.
Confidential Submission	Opcional Se selecionado, o arquivo será mostrado apenas para os usuários na sua conta de cliente. Não selecionada por padrão.

Saídas da ação

A ação Enviar arquivo fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do painel de casos

Em um mural de casos, a ação Enviar arquivo fornece a seguinte tabela:

Colunas:

• Resultados
• Nome
• Pontuação de ameaça
• Veredito
• Tags

Mensagens de saída

A ação Enviar arquivo fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details about the following files using CrowdStrike: PATHS Action wasn't able to return details about the following files using CrowdStrike: PATHS	Ação concluída.
Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files. None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files. None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.	A ação retornou um erro. Confira os formatos de arquivo compatíveis com essa ação.
Waiting for results for the following files: PATHS	Mensagem assíncrona.
Error executing action "Submit File". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Falha na ação. Aumente o tempo limite no ambiente de desenvolvimento integrado.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Enviar arquivo:

Nome do resultado do script	Valor
is_success	True ou False

Enviar URL

Use a ação Enviar URL para enviar URLs a um sandbox no CrowdStrike.

Essa ação requer uma licença do Falcon Sandbox. Para verificar quais formatos de arquivo são compatíveis com o sandbox, consulte a seção Formatos de arquivo e arquivo compactado compatíveis deste documento.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Enviar URL requer os seguintes parâmetros:

Parâmetros
URLs	Obrigatório URLs para enviar.
Sandbox Environment	Opcional Um ambiente de sandbox para análise. O valor padrão é Windows 10, 64-bit. Os possíveis valores são os seguintes: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	Opcional Um ambiente de rede para analisar. O valor padrão é Default. Os possíveis valores são os seguintes: Default TOR Offline Simulated
Check Duplicate	Opcional Se selecionada, a ação verifica se o URL já foi enviado anteriormente e retorna o relatório disponível. Durante a validação, a ação não considera os parâmetros Network Environment e Sandbox Environment. Essa configuração é selecionada por padrão.

Saídas da ação

A ação Enviar URL fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Enviar URL fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details about the following URLs using CrowdStrike: PATHS Action wasn't able to return details about the following URLs using CrowdStrike: PATHS	Ação concluída.
Waiting for results for the following URLs: PATHS	Mensagem assíncrona.
Error executing action "Submit URL". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	Falha na ação. Aumente o tempo limite no ambiente de desenvolvimento integrado.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Enviar URL:

Nome do resultado do script	Valor
is_success	True ou False

Atualizar alerta

Use a ação Atualizar alerta para atualizar alertas no CrowdStrike Falcon.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar alerta requer os seguintes parâmetros:

Parâmetros
Alert ID	Obrigatório O ID do alerta a ser atualizado.
Status	Opcional O status do alerta. Os possíveis valores são os seguintes: Closed In Progress New Reopened
Verdict	Opcional O veredito do alerta. Os possíveis valores são os seguintes: True Positive False Positive
Assign To	Opcional O nome do analista a quem o alerta será atribuído. Se você fornecer Unassign como um valor de parâmetro, a ação removerá uma atribuição do alerta. A API aceita qualquer valor, mesmo que o usuário fornecido não exista no sistema.

Saídas da ação

A ação Atualizar alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Atualizar alerta:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Mensagens de saída

A ação Atualizar alerta fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated alert with ID ALERT_ID in CrowdStrike	Ação concluída.
Error executing action "Update Alert". Reason: ERROR_REASON Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling. Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Atualizar alerta:

Nome do resultado do script	Valor
is_success	True ou False

Detecção de atualização (descontinuado)

Descontinuado: esta ação foi descontinuada. Use a ação Atualizar alerta.

Use a ação Atualizar detecção para atualizar as detecções no CrowdStrike Falcon.

Essa ação é executada em todas as entidades.

Entradas da ação

A ação Update Detection requer os seguintes parâmetros:

Parâmetro	Descrição
Detection ID	Obrigatório. O ID da detecção a ser atualizada.
Status	Obrigatório. Um status de detecção. O valor padrão é Select One. Os possíveis valores são os seguintes: Select One new in_progress true_positive false_positive ignored closed
Assign Detection to	Opcional. Um endereço de e-mail do usuário do CrowdStrike Falcon que é o responsável pela detecção.

Saídas da ação

A ação Atualizar detecção fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Atualizar detecção fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated detection DETECTION_ID in CrowdStrike Falcon.	Ação concluída.
Error executing action "Update Detection". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.	Falha na ação. Verifique os valores dos parâmetros Status e Assign Detection To.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Atualizar detecção:

Nome do resultado do script	Valor
is_success	true ou false

Atualizar a detecção de proteção de identidade

Use a Atualizar detecção de proteção de identidade para atualizar uma detecção de proteção de identidade no CrowdStrike.

Essa ação requer uma licença de proteção de identidade.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar detecção de proteção de identidade requer os seguintes parâmetros:

Parâmetros
Detection ID	Obrigatório O ID da detecção a ser atualizada.
Status	Opcional Um status da detecção. O valor padrão é Select One. Os possíveis valores são os seguintes: Closed Ignored In Progress New Reopened Select One
Assign to	Opcional O nome do analista atribuído. Se Unassign for fornecido, a ação removerá um responsável da detecção. Se um valor inválido for fornecido, a ação não vai mudar o responsável atual.

Saídas da ação

A ação Atualizar detecção de proteção de identidade fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Atualizar detecção de proteção de identidade:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

Mensagens de saída

Em um mural de casos, a ação Atualizar detecção de proteção de identidade fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike.	Ação concluída.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	Falha na ação. Verifique a ortografia.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.	Falha na ação. Verifique os valores dos parâmetros Status e Assign to.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Atualizar detecção de proteção de identidade:

Nome do resultado do script	Valor
is_success	True ou False

Atualizar incidente (descontinuado)

Descontinuado: esta ação foi descontinuada. Use a ação Atualizar alerta.

Use a ação Atualizar incidente para atualizar incidentes no CrowdStrike.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar incidente requer os seguintes parâmetros:

Parâmetro	Descrição
Incident ID	Obrigatório. O ID do incidente a ser atualizado.
Status	Opcional. O status do incidente. Os valores possíveis são os seguintes: Closed In Progress New Reopened
Assign to	Opcional. O nome ou o endereço de e-mail do analista atribuído. Se Unassign for fornecido, a ação removerá um responsável do incidente. Para especificar um nome, forneça o nome e o sobrenome do analista no seguinte formato: "FIRST_NAME LAST_NAME"

Saídas da ação

A ação Atualizar incidente fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Atualizar incidente:

 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }

Mensagens de saída

A ação Atualizar incidente fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated incident with ID INCIDENT_ID in CrowdStrike	Ação concluída.
Error executing action "Update Incident". Reason: ERROR_REASON	Falha na ação. Verifique a conexão, os parâmetros de entrada ou as credenciais.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	Falha na ação. Verifique a ortografia.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Atualizar incidente:

Nome do resultado do script	Valor
is_success	True ou False

Atualizar informações de IOC

Use a ação Atualizar informações de IOC para atualizar informações sobre IOCs personalizados no CrowdStrike Falcon.

Essa ação trata as entidades de nome do host como IOCs de domínio e extrai a parte do domínio dos URLs. Essa ação só é compatível com os hashes MD5 e SHA-256.

A ação Atualizar informações de IOC é executada nas seguintes entidades:

• Nome do host
• URL
• Endereço IP
• Hash

Entradas da ação

A ação Atualizar informações de IOC requer os seguintes parâmetros:

Parâmetros
Description	Opcional Uma nova descrição para IOCs personalizados.
Source	Opcional Uma fonte para IOCs personalizados.
Expiration days	Opcional O número de dias restantes até a expiração. Esse parâmetro afeta apenas as entidades de URL, endereço IP e nome do host.
Detect policy	Opcional Se selecionada, a ação envia uma notificação para os IOCs identificados. Se não estiver selecionada, a ação não enviará notificações. Essa configuração é selecionada por padrão.

Saídas da ação

A ação Atualizar informações de IOC fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Atualizar informações de IOC:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "[e-mail]",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}

Mensagens de saída

Em um mural de casos, a ação Atualizar informações de IOC fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Update IOC Information". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Atualizar informações de IOC:

Nome do resultado do script	Valor
is_success	True ou False

Fazer upload de IOCs

Use a ação Fazer upload de IOCs para adicionar IOCs personalizados no CrowdStrike Falcon.

Essa ação trata as entidades de nome do host como IOCs de domínio e extrai a parte do domínio dos URLs. Essa ação só é compatível com os hashes MD5 e SHA-256.

A ação Fazer upload de IOCs é executada nas seguintes entidades:

• Endereço IP
• Nome do host
• URL
• Hash

Entradas da ação

A ação Fazer upload de IOCs requer os seguintes parâmetros:

Parâmetros
Platform	Obrigatório Uma lista separada por vírgulas de plataformas relacionadas ao IOC. O valor padrão é Windows,Linux,Mac. Os possíveis valores são os seguintes: Windows Linux Mac
Severity	Obrigatório A gravidade do IOC. O valor padrão é Medium. Os possíveis valores são os seguintes: Informational Low Medium High Critical
Comment	Opcional Um comentário com mais contexto relacionado ao IOC.
Host Group Name	Obrigatório O nome do grupo de hosts.
Action	Opcional Uma ação para IOCs enviados. O valor padrão é Detect. Os valores possíveis são os seguintes: Block Detect O valor Block se aplica apenas a hashes MD5. A ação sempre aplica a política Detect a todos os outros tipos de IOC.
Days To Expire	Opcional O número de dias antes do IOC expirar.

Saídas da ação

A ação Fazer upload de IOCs fornece as seguintes saídas:

Tipo de saída da ação
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Fazer upload de IOCs fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID	Ação concluída.
Error executing action "Upload IOCs". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.	Falha na ação. Verifique o valor do parâmetro Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.	Falha na ação. Verifique o valor do parâmetro Platform.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Fazer upload de IOCs:

Nome do resultado do script	Valor
is_success	True ou False

Conectores

Verifique se você configurou as permissões mínimas para cada conector do CrowdStrike. Para mais detalhes, consulte a seção Permissões do conector deste documento.

Para instruções sobre como configurar um conector no Google SecOps, consulte Ingerir seus dados (conectores).

Eventos do CrowdStrike

Os eventos são informações coletadas pelos sensores do Falcon nos hosts. Há quatro tipos de eventos no CrowdStrike:

Tipos de evento do CrowdStrike
Eventos de auditoria de atividade de autenticação	Eventos gerados sempre que a autorização é solicitada, permitida ou concluída em endpoints.
Eventos de resumo de detecção	Eventos gerados quando ameaças são detectadas em endpoints.
Eventos de encerramento de sessão de resposta remota	Eventos gerados de sessões remotas em endpoints.
Eventos de auditoria de atividade do usuário	Eventos gerados para monitorar as atividades realizadas por usuários ativos em endpoints.

Os conectores ingerem eventos no Google SecOps para criar alertas e enriquecer casos com dados de eventos. É possível selecionar quais eventos serão ingeridos no Google SecOps: todos os tipos de evento ou apenas alguns.

Descontinuado: conector de detecções do CrowdStrike

Este conector não recebe mais atualizações nem mudanças de código.

Use o CrowdStrike - Conector de alertas.

Use o conector de detecções do CrowdStrike para extrair detecções do CrowdStrike.

A lista dinâmica funciona com filtros compatíveis com a API CrowdStrike.

Como trabalhar com a lista dinâmica

Ao trabalhar com a lista dinâmica, siga estas recomendações:

• Use a linguagem FQL do CrowdStrike para modificar o filtro enviado pelo conector.
• Forneça uma entrada separada na lista dinâmica para cada filtro.
• Para ingerir todas as detecções atribuídas a um analista específico, verifique se o analista fornece a seguinte entrada de lista dinâmica:

  assigned_to_name:'ANALYST_USER_NAME'

A lista dinâmica é compatível com os seguintes parâmetros:

Parâmetros aceitos	Descrição
q	Uma pesquisa de texto completo em todos os campos de metadados.
date_updated	A data da atualização de detecção mais recente.
assigned_to_name	O nome de usuário legível por humanos do responsável pela detecção.
max_confidence	Quando uma detecção tem mais de um comportamento associado com níveis de confiança variados, esse campo captura o valor de confiança mais alto de todos os comportamentos. O valor de parâmetro pode ser qualquer número inteiro de 1 a 100.
detection_id	O ID de detecção que pode ser usado com outras APIs, como a API Detection Details ou a API Resolve Detection.
max_severity	Quando uma detecção tem mais de um comportamento associado com níveis de gravidade variados, esse campo captura o valor de gravidade mais alto de todos os comportamentos. O valor de parâmetro pode ser qualquer número inteiro de 1 a 100.
max_severity_displayname	O nome usado na UI para determinar a gravidade da detecção. Os valores possíveis são os seguintes: Critical High Medium Low
seconds_to_triaged	O tempo necessário para que uma detecção mude o status de new para in_progress.
seconds_to_resolved	O tempo necessário para que uma detecção mude o status de new para qualquer um dos estados resolvidos (true_positive, false_positive, ignored e closed).
status	O status atual da detecção. Os valores possíveis são os seguintes: new in_progress true_positive false_positive ignored
adversary_ids	O adversário rastreado pelo CrowdStrike Falcon Intelligence tem um ID associado aos comportamentos ou indicadores atribuídos em uma detecção. Esses IDs estão localizados em metadados de detecção acessíveis pela API Detection Details.
cid	O ID de cliente (CID) da sua organização.

Entradas do conector

O conector de detecções do CrowdStrike requer os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo de origem que contém o nome Product Field. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo de origem que contém o nome Event Field. O valor padrão é behaviors_technique.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente padrão será usado. O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário.
Script Timeout (Seconds)	Obrigatório. O limite de tempo limite em segundos para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório. A raiz da API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório. O ID do cliente da conta da CrowdStrike.
Client Secret	Obrigatório. A chave secreta do cliente da conta da CrowdStrike.
Lowest Severity Score To Fetch	Opcional. A menor pontuação de gravidade das detecções a serem buscadas (máximo de 100). O valor padrão é 50.
Lowest Confidence Score To Fetch	Opcional. A menor pontuação de confiança das detecções a serem buscadas (máximo de 100). O valor padrão é 0.
Max Hours Backwards	Opcional. O número de horas para buscar detecções. O valor padrão é 1.
Max Detections To Fetch	Opcional. O número de detecções a serem processadas em uma única iteração do conector. O valor padrão é 10.
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de transbordamento.
Verify SSL	Obrigatório. Se selecionada, a integração verifica o certificado SSL.
Proxy Server Address	Opcional. Um endereço do servidor proxy a ser usado.
Proxy Username	Opcional. Um nome de usuário de proxy para autenticação.
Proxy Password	Opcional. Uma senha de proxy para autenticação.
Case Name Template	Opcional. Formato do marcador de posição: [FIELD_NAME ].
Alert Name Template	Opcional. Formato do marcador de posição: [FIELD_NAME ].
Padding Period	Opcional. Número de horas usadas para preenchimento (máximo de 6).
Include Hidden Alerts	Opcional. Se ativado, busca alertas rotulados como "ocultos".
Fallback Severity	Opcional. Aplicado se a gravidade estiver ausente. Padrão: Informações.
Customer ID	Opcional. O ID de cliente para ambientes multilocatários (MSSP).

Regras do conector

O conector é compatível com proxies.

Eventos do conector

Confira um exemplo de evento do conector:

{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}
    

Conector de eventos de streaming do CrowdStrike Falcon

O conector de eventos de streaming do CrowdStrike Falcon aborda os seguintes casos de uso:

1. Ingestão de dados de eventos de detecção.

   O CrowdStrike Falcon detecta uma tentativa de executar o arquivo malicioso SophosCleanM.exe em um endpoint. O CrowdStrike interrompe a operação e cria um alerta com hashes de arquivo nos dados de eventos.

   Um analista interessado na reputação de arquivos executa hashes descobertos no VirusTotal e descobre que um hash é malicioso. Como etapa seguinte, a ação do Mcafee EDR coloca o arquivo malicioso em quarentena.

2. Ingestão de dados de eventos de auditoria de atividade do usuário.

   Dani, uma usuária do CrowdStrike, atualiza o status de detecção de new para false-positive. Essa ação do usuário cria um evento chamado detection_update.

   O analista faz um acompanhamento para entender por que Dani marcou a ação como falso positivo e verifica o evento ingerido que contém as informações sobre a identidade de Dani.

   Em seguida, o analista executa a ação Enrich Entities do Active Directory para receber mais detalhes sobre o incidente e simplificar o rastreamento de Dani.

3. Ingestão de dados de eventos de auditoria de atividade de autenticação.

   Um evento indica que Dani criou uma nova conta de usuário e concedeu papéis de usuário a ela.

   Para investigar o evento e entender por que o usuário foi criado, o analista usa o ID do usuário de Dani para executar a ação Enrich Entities do Active Directory e descobrir o função do usuário Dani para confirmar se ele tem autorização para adicionar novos usuários.

4. Ingestão de dados de eventos de fim de resposta remota.

   Um evento remoto indica que Dani tinha uma conexão remota com um host específico e executou comandos como usuário raiz para acessar um diretório de servidor da Web.

   Para receber mais informações sobre Dani e o host envolvido, o analista executa a ação do Active Directory para enriquecer o usuário e o host. Com base nas informações retornadas, o analista pode decidir suspender Dani até que o propósito da conexão remota seja esclarecido.

Entradas do conector

O conector de eventos de streaming do CrowdStrike Falcon requer os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório O nome do campo de origem que contém o nome Product Field. O valor padrão é device_product.
Event Field Name	Obrigatório O nome do campo de origem que contém o nome Event Field. O valor padrão é Name.
Environment Field Name	Opcional O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente padrão será usado. O valor padrão é "".
Environment Regex Pattern	Opcional Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Alert Name Template	Opcional Se fornecido, o conector vai usar esse valor para o nome do alerta do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Observação: se você não fornecer um valor ou um modelo inválido, o conector vai usar o nome de alerta padrão. O conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro só permite chaves com um valor de string.
API Root	Obrigatório A raiz da API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório O ID do cliente da conta do CrowdStrike.
Client Secret	Obrigatório A chave secreta do cliente da conta da CrowdStrike.
Event types	Opcional Uma lista separada por vírgulas de tipos de evento. Confira alguns exemplos de tipos de evento: DetectionSummaryEvent IncidentSummaryEvent AuthActivityAuditEvent UserActivityAuditEvent RemoteResponseSessionStartEvent RemoteResponseSessionEndEvent
Max Days Backwards	Opcional O número de dias antes de hoje para recuperar detecções. O valor padrão é 3.
Max Events Per Cycle	Opcional O número de eventos a serem processados em uma única iteração do conector. O valor padrão é 10.
Min Severity	Opcional Eventos a serem ingeridos com base na gravidade do evento (eventos de detecção). O valor varia de 0 a 5. Se outros tipos de eventos além das detecções forem ingeridos, a gravidade deles será definida como -1, e esse filtro não será aplicado a eles.
Disable Overflow	Opcional Se selecionado, o conector ignora o mecanismo de estouro. Não selecionada por padrão.
Verify SSL	Obrigatório Se selecionada, a integração verifica se o certificado SSL da conexão com o servidor do CrowdStrike é válido. Não selecionada por padrão.
Script Timeout (Seconds)	Obrigatório O limite de tempo limite para o processo do Python que executa o script atual. O valor padrão é de 60 segundos.
Proxy Server Address	Opcional Um endereço do servidor proxy a ser usado.
Proxy Username	Opcional Um nome de usuário de proxy para autenticação.
Proxy Password	Opcional Uma senha de proxy para autenticação.
Rule Generator Template	Opcional Se fornecido, o conector usa esse valor para o gerador de regras do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Se você não fornecer um valor ou um modelo inválido, o conector usará o gerador de regras padrão. O conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro permite apenas chaves com um valor de string.
Customer ID	Opcional O ID de cliente do locatário em que o conector será executado. Para uso em ambientes multilocatários (MSSP).

Regras do conector

Esse conector é compatível com proxies.

Este conector não é compatível com a lista dinâmica.

Conector de detecções de proteção de identidade da CrowdStrike

Use o conector de detecções de proteção de identidade da CrowdStrike para extrair as detecções de proteção de identidade da CrowdStrike. A lista dinâmica funciona com o parâmetro display_name.

Este conector exige uma licença de proteção de identidade.

Entradas do conector

O conector de detecções de proteção de identidade do CrowdStrike requer os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório O nome do campo de origem que contém o nome Product Field. O valor padrão é Product Name.
Event Field Name	Obrigatório O nome do campo de origem que contém o nome Event Field. O valor padrão é behaviors_technique.
Environment Field Name	Opcional O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente padrão será usado. O valor padrão é "".
Environment Regex Pattern	Opcional Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Script Timeout (Seconds)	Obrigatório O limite de tempo limite em segundos para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório A raiz da API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório O ID do cliente da conta do CrowdStrike.
Client Secret	Obrigatório A chave secreta do cliente da conta da CrowdStrike.
Lowest Severity Score To Fetch	Opcional A menor pontuação de gravidade das detecções a serem buscadas. Se nenhum valor for fornecido, o conector não vai aplicar esse filtro. O valor máximo é 100. O valor padrão é 50. O conector também aceita os seguintes valores para esse parâmetro: Low Medium High Critical
Lowest Confidence Score To Fetch	Opcional a menor pontuação de confiança das detecções a serem buscadas. Se nenhum valor for fornecido, o conector não vai aplicar esse filtro. O valor máximo é 100. O valor padrão é 0.
Max Hours Backwards	Opcional O número de horas anteriores ao momento atual para recuperar detecções. O valor padrão é 1.
Max Detections To Fetch	Opcional O número de detecções a serem processadas em uma única iteração do conector. O valor padrão é 10.
Case Name Template	Opcional Se fornecido, o conector adiciona uma nova chave chamada custom_case_name ao evento do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Observação: o conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro só permite chaves com um valor de string.
Alert Name Template	Opcional Se fornecido, o conector vai usar esse valor para o nome do alerta do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Observação: se você não fornecer um valor ou um modelo inválido, o conector vai usar o nome de alerta padrão. O conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro só permite chaves com um valor de string.
Disable Overflow	Opcional Se selecionado, o conector ignora o mecanismo de estouro. Não selecionada por padrão.
Verify SSL	Obrigatório Se selecionada, a integração verifica se o certificado SSL da conexão com o servidor do CrowdStrike é válido. Não selecionada por padrão.
Proxy Server Address	Opcional Um endereço do servidor proxy a ser usado.
Proxy Username	Opcional Um nome de usuário de proxy para autenticação.
Proxy Password	Opcional Uma senha de proxy para autenticação.
Customer ID	Opcional O ID de cliente do locatário em que o conector será executado. Para uso em ambientes multilocatários (MSSP).

Regras do conector

Esse conector é compatível com proxies.

Evento do conector

Confira um exemplo de evento do conector:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Descontinuado: conector de incidentes da CrowdStrike

Descontinuado: este conector foi descontinuado. Use o conector de alertas do CrowdStrike para extrair dados de incidentes e comportamento.

Use o conector de incidentes do CrowdStrike para extrair incidentes e comportamentos relacionados do CrowdStrike.

A lista dinâmica funciona com o parâmetro incident_type.

Parâmetros do conector

O conector de incidentes do CrowdStrike exige os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo de origem que contém o nome de Product Field. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo de origem que contém o nome de Event Field. O valor padrão é data_type.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se não for encontrado, o ambiente padrão será usado. O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular para manipular o valor do campo de ambiente. Use o .* padrão para recuperar o valor bruto.
Script Timeout (Seconds)	Obrigatório. O limite de tempo limite para o processo do Python. O valor padrão é 180.
API Root	Obrigatório. A raiz da API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório. O ID do cliente da conta da CrowdStrike.
Client Secret	Obrigatório. A chave secreta do cliente da conta da CrowdStrike.
Lowest Severity Score To Fetch	Opcional. A menor pontuação de gravidade dos incidentes a serem buscados. É compatível com Low, Medium, High, Critical ou valores numéricos até 100.
Max Hours Backwards	Opcional. Janela de lookback de recuperação em horas. O valor padrão é 1.
Max Incidents To Fetch	Opcional. Número de incidentes por iteração. O máximo é 100. O valor padrão é 10.
Use dynamic list as a blocklist	Obrigatório. Se selecionada, a lista dinâmica vai funcionar como uma lista de bloqueio.
Disable Overflow	Opcional. Se selecionado, ignora o mecanismo de transbordamento.
Verify SSL	Obrigatório. Verifica o certificado SSL da conexão.
Proxy Parameters	Opcional. Inclui Proxy Server Address, Proxy Username e Proxy Password.
Customer ID	Opcional. ID do locatário para ambientes multilocatários (MSSP).

Regras do conector

Esse conector é compatível com proxies.

Eventos do conector

O conector é compatível com dois tipos de eventos: baseados em incidentes e baseados em comportamento.

Exemplo: evento baseado em incidente

 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

Exemplo: evento baseado em comportamento

 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike – Conector de alertas

Use o CrowdStrike – Alerts Connector para extrair alertas do CrowdStrike. A lista dinâmica funciona com o parâmetro display_name.

Para buscar detecções de proteção de identidade, use o conector de detecções de proteção de identidade.

Entradas do conector

O CrowdStrike – Alerts Connector requer os seguintes parâmetros:

Parâmetros
Product Field Name	Obrigatório O nome do campo de origem que contém o nome Product Field. O valor padrão é Product Name.
Event Field Name	Obrigatório O nome do campo de origem que contém o nome Event Field. O valor padrão é product.
Environment Field Name	Opcional O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente padrão será usado. O valor padrão é "".
Environment Regex Pattern	Opcional Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Script Timeout (Seconds)	Obrigatório Limite de tempo limite em segundos para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório A raiz da API da instância do CrowdStrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório O ID do cliente da conta do CrowdStrike.
Client Secret	Obrigatório A chave secreta do cliente da conta da CrowdStrike.
Case Name Template	Opcional Se fornecido, o conector adiciona uma nova chave chamada custom_case_name ao evento do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Observação: o conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro só permite chaves com um valor de string.
Alert Name Template	Opcional Se fornecido, o conector vai usar esse valor para o nome do alerta do Google SecOps. Você pode fornecer marcadores de posição no seguinte formato: [FIELD_NAME], como Phishing - [event_mailbox]. Observação: se você não fornecer um valor ou um modelo inválido, o conector vai usar o nome de alerta padrão. O conector usa o primeiro evento do Google SecOps para marcadores de posição. Esse parâmetro só permite chaves com um valor de string.
Lowest Severity Score To Fetch	Opcional A menor pontuação de gravidade dos incidentes a serem buscados. Se nenhum valor for fornecido, o conector vai ingerir incidentes com todas as gravidades. O valor máximo é 100. O conector também aceita os seguintes valores para esse parâmetro: Baixo Médio Alta Crítico Na interface do CrowdStrike, o mesmo valor é apresentado dividido por 10.
Max Hours Backwards	Opcional O número de horas antes do momento atual para recuperar incidentes. O valor padrão é 1.
Max Alerts To Fetch	Opcional O número de alertas a serem processados em uma única iteração do conector. O valor máximo é 100. O valor padrão é 10.
Use dynamic list as a blocklist	Obrigatório Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio. Não selecionada por padrão.
Disable Overflow	Opcional Se selecionado, o conector ignora o mecanismo de estouro. Não selecionada por padrão.
Verify SSL	Obrigatório Se selecionada, a integração verifica se o certificado SSL da conexão com o servidor do CrowdStrike é válido. Não selecionada por padrão.
Proxy Server Address	Opcional Um endereço do servidor proxy a ser usado.
Proxy Username	Opcional Um nome de usuário de proxy para autenticação.
Proxy Password	Opcional Uma senha de proxy para autenticação.
Customer ID	Opcional O ID de cliente do locatário em que o conector será executado. Para uso em ambientes multilocatários (MSSP).

Regras do conector

Esse conector é compatível com proxies.

Eventos do conector

Veja um exemplo de evento baseado em alertas:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

Jobs

Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.

Crowdstrike Falcon: sincronizar alertas

Use o job Crowdstrike Falcon - Sync Alerts para sincronizar comentários e status de forma bidirecional entre o Google SecOps e o Crowdstrike.

Requisitos do trabalho

Para garantir que o job identifique e sincronize os dados corretos, as seguintes condições precisam ser atendidas:

• O caso do Google SecOps precisa conter a tag Crowdstrike Alert.

• Se o alerta não tiver sido originado do Conector de alertas ou do Conector de detecção de proteções de identidade, adicione um valor de contexto de alerta Alert_ID para que o job identifique o registro correto do Crowdstrike.

Lógica operacional

O job sincroniza dados em duas etapas. A primeira etapa sincroniza os dados do Crowdstrike com os alertas do Google SecOps. A segunda etapa sincroniza os dados de alerta do Google SecOps com os alertas do Crowdstrike.

O job usa Max Hours Backwards para a iteração inicial. Para todas as solicitações subsequentes, o job usa o start_time do último alerta processado.

Lógica de sincronização de comentários

O job usa o last_update_time para filtrar comentários e evitar entradas duplicadas. Os comentários sincronizados usam as seguintes estruturas:

• Enviado pela Crowdstrike: Crowdstrike {ticket_id}: {comment}

• Enviado pelo Google SecOps: Google SecOps {case_id}: {comment}

Os comentários de encerramento de casos do Google SecOps também são sincronizados com o Crowdstrike como comentários.

Mapeamento de status e veredito

Quando um alerta é encerrado no Google SecOps, o job atualiza o alerta correspondente do Crowdstrike com o status Closed. O job também aplica o seguinte mapeamento para vereditos de analistas:

• Se o Motivo do encerramento for Malicious, o Veredito da Crowdstrike será definido como True Positive.

• Se o Motivo do encerramento for Not Malicious, o Veredito do Crowdstrike será definido como False Positive.

• Para todos os outros motivos de encerramento, o status é definido como Closed sem um veredicto.

Parâmetros do job

O job Crowdstrike Falcon - Sync Alerts requer os seguintes parâmetros:

Parâmetro	Descrição
Environment Name	Obrigatório. O nome do ambiente em que o job pesquisa alertas. O valor padrão é Default Environment.
API Root	Obrigatório. A raiz da API da instância do Crowdstrike. O valor padrão é https://api.crowdstrike.com.
Client ID	Obrigatório. O ID do cliente da conta do Crowdstrike.
Client Secret	Obrigatório. A chave secreta do cliente da conta do Crowdstrike.
Max Hours Backwards	Obrigatório. O número de horas antes do horário atual para sincronizar os alertas durante a primeira iteração do job. O valor padrão é 24.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Crowdstrike. Ativado por padrão.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.