[Zastaralé] CrowdStrike Falcon Endpoint Protection prostřednictvím konektoru starší verze agenta pro Microsoft Sentinel

Konektor CrowdStrike Falcon Endpoint Protection umožňuje snadno připojit stream událostí CrowdStrike Falcon se službou Microsoft Sentinel a vytvářet vlastní řídicí panely, výstrahy a zlepšit šetření. Tím získáte lepší přehled o koncových bodech vaší organizace a zlepšíte možnosti operací zabezpečení.

Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.

atributy Připojení oru

atribut Připojení or	Popis
Tabulky Log Analytics	CommonSecurityLog (CrowdStrikeFalconEventStream)
Podpora pravidel shromažďování dat	Transformace pracovního prostoru – DCR
Podporováno	Microsoft Corporation

Ukázky dotazů

Prvních 10 hostitelů s detekcemi

CrowdStrikeFalconEventStream 

| where EventType == "DetectionSummaryEvent" 

| summarize count() by DstHostName 

| top 10 by count_

Prvních 10 uživatelů s detekcemi

CrowdStrikeFalconEventStream 

| where EventType == "DetectionSummaryEvent" 

| summarize count() by DstUserName 

| top 10 by count_

Pokyny k instalaci dodavatele

POZNÁMKA: Tento datový konektor závisí na analyzátoru založeném na funkci Kusto, která funguje podle očekávání, která se nasadí jako součást řešení. Pokud chcete zobrazit kód funkce v Log Analytics, otevřete okno Protokoly Log Analytics nebo Microsoft Sentinelu, klikněte na Functions a vyhledejte alias Crowd Strike Falcon Endpoint Protection a načtěte kód funkce nebo klikněte sem, na druhém řádku dotazu zadejte názvy hostitelů vašich zařízení CrowdStrikeFalcon a všechny další jedinečné identifikátory pro logstream. Aktivace funkce obvykle trvá 10 až 15 minut po instalaci nebo aktualizaci řešení.

Konfigurace agenta Syslog pro Linux 1.0

Nainstalujte a nakonfigurujte agenta Linuxu tak, aby shromažďoval zprávy Syslogu ve formátu CEF (Common Event Format) a předával je do Služby Microsoft Sentinel.

Všimněte si, že data ze všech oblastí budou uložena ve vybraném pracovním prostoru.

1.1 Výběr nebo vytvoření počítače s Linuxem

Vyberte nebo vytvořte počítač s Linuxem, který Bude Microsoft Sentinel používat jako proxy server mezi vaším řešením zabezpečení a Microsoft Sentinelem, může být váš místní prostředí, Azure nebo jiné cloudy.

1.2 Instalace kolektoru CEF na počítači s Linuxem

Nainstalujte agenta Microsoft Monitoring Agent na počítač s Linuxem a nakonfigurujte počítač tak, aby naslouchal potřebným portům a přeposílal zprávy do pracovního prostoru Služby Microsoft Sentinel. Kolektor CEF shromažďuje zprávy CEF na portu 514 TCP.

1. Pomocí následujícího příkazu se ujistěte, že máte na svém počítači Python: python -version.

2. Na počítači musíte mít zvýšená oprávnění (sudo).

   Spuštěním následujícího příkazu nainstalujte a použijte kolektor CEF:

   sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

3. Předávání protokolů CrowdStrike Falcon Event Stream agentu Syslogu

Nasaďte Kolekci CrowdStrike Falcon SIEM k předávání zpráv Syslogu ve formátu CEF do pracovního prostoru Služby Microsoft Sentinel prostřednictvím agenta Syslogu.

1. Podle těchto pokynů nasaďte kolekci SIEM a předáte syslog.

2. Použijte IP adresu nebo název hostitele pro zařízení s Linuxem s agentem Linuxu nainstalovaným jako cílovou IP adresu.

3. Ověření připojení

Podle pokynů ověřte připojení:

Otevřete Log Analytics a zkontrolujte, jestli se protokoly přijímají pomocí schématu CommonSecurityLog.

Může to trvat přibližně 20 minut, než připojení streamuje data do vašeho pracovního prostoru.

Pokud protokoly nejsou přijaty, spusťte následující ověřovací skript připojení:

1. Pomocí následujícího příkazu se ujistěte, že máte na svém počítači Python: python -version.

2. Na počítači musíte mít zvýšená oprávnění (sudo).

   Spuštěním následujícího příkazu ověřte připojení:

   sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

3. Zabezpečení počítače

Nezapomeňte nakonfigurovat zabezpečení počítače podle zásad zabezpečení vaší organizace.

Další informace

Další kroky

Další informace najdete v souvisejícím řešení na Azure Marketplace.