Эта статья обсуждает интеграцию данных из CrowdStrike EDR для генерации историй, которые вы можете просмотреть в Рабочей области Историй Cato.
Обзор
Используя API-коннектор, вы можете интегрировать данные из детекций CrowdStrike для создания историй для конечных устройств. Истории конечных устройств помогают получить более полное представление о потенциальных угрозах в вашей сети.
История создаётся в CMA путем корреляции обнаружений CrowdStrike на основе ID Инцидента. Эти истории включают все релевантные доказательства для детекции, идентифицированной CrowdStrike. Рабочая область Историй показывает истории конечных устройств вместе с другими типами историй, и вы можете сортировать и фильтровать истории, чтобы сосредоточиться на инцидентах конечных точек.
Истории CrowdStrike создаются практически в реальном времени после того, как первоначальное оповещение сгенерировано.
Чтобы интегрировать данные про CrowdStrike EndPoint Detection с Cato XOps, вам нужно настроить API-коннекторы для CrowdStrike. После создания коннектора движок EndPoint Detection получает и анализирует данные детекции от CrowdStrike.
Для получения дополнительной информации о просмотре XOps историй, включая данные из CrowdStrike, см. Drilling-Down and Analyzing XOps Security Stories.
Предварительные условия
Для просмотра историй Cato XOps для обнаружений CrowdStrike требуется лицензия XOps или MDR. События генерируются без лицензии
Требуется лицензия Falcon Insight (EDR).
Чтобы добавить коннектор, вы должны иметь право редактора для Интеграции (в разделе Ресурсы). Для получения дополнительной информации см. Управление ролями администраторов с использованием RBAC.
Настройка Конечный коннектор CrowdStrike
Чтобы создать коннектор между Cato и вашим арендатом CrowdStrike, вам необходимо:
Создать Клиент API в платформе Falcon CrowdStrike
Создать API-коннектор в CMA
Шаг 1: Создать Клиент API в платформе Falcon CrowdStrike
На платформе Falcon CrowdStrike создайте API клиента.
Чтобы создать Клиент API:
На вашей платформе Falcon CrowdStrike перейдите к Поддержка и ресурсы > API клиенты и ключи.
Нажмите Создать клиент API.
Добавьте Имя клиента и Описание, и доступ на Чтение для этих областей:
Оповещения
Инциденты
Threatgraph
Сохраните Client ID, данные и базовый URL, чтобы их можно было добавить в CMA.
Шаг 2: Создайте API соединитель в CMA
После создания API клиента добавьте детали в CMA.
Чтобы настроить Коннектор CrowdStrike в CMA:
В меню навигации выберите Ресурсы > Интеграции.
На вкладке Интегрированные Приложения нажмите Новый. Открывается панель Новая Интеграция.
Из выпадающего меню SaaS Приложение выберите CrowdStrike.
Введите Имя, Описание (необязательно) и Базовый URL, Application ID, и Секрет клиента из шага 1.
(Необязательно) Вы можете отслеживать ошибки интеграции, создавая событие.
Нажмите Save.
Понимание статуса подключения
Столбец Статус на странице Настройки показывает статус подключения между приложением CrowdStrike и вашим аккаунтом Cato. Вот объяснения состояний:
Подключено - Ваш аккаунт подключен к приложению и работает правильно
Ожидается согласие пользователя - Разрешения не были предоставлены для доступа Cato к приложению CrowdStrike. Чтобы устранить эту проблему, обновите браузер. Если Статус изменится на Подключено, проблема решена, если Статус не изменится, удалите и создайте коннектор заново.
Ошибка - Существует проблема с подключением, разрешениями, лицензией или другим вопросом с коннектором. Удалите и создайте коннектор заново.
Просмотр страницы рабочей области Историй
После создания соединителя, истории будут видны в Рабочей области Историй.
Чтобы просмотреть страницу Рабочая область Историй:
Из меню навигации, нажмите Домашняя > Рабочая область Историй.
Информацию о столбцах в Рабочей области Историй смотрите Понимание колонок историй
Для получения информации о просмотре историй XOps см. Углубление и анализ историй безопасности XOps.