Megosztás a következőn keresztül:

CrowdStrike Falcon Adversary Intelligence (az Azure Functions használatával) összekötő a Microsoft Sentinelhez

  • Cikk

A CrowdStrike Falcon Indicators of Compromise összekötő lekéri a Kompromisszumok mutatóit a Falcon Intel API-ból, és feltölti őket a Microsoft Sentinel Threat Intelből.

Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.

Összekötő attribútumai

Összekötő attribútum Leírás
Azure-függvényalkalmazás kódja https://aka.ms/sentinel-CrowdStrikeFalconAdversaryIntelligence-Functionapp
Log Analytics-tábla(ok) IndicatorsOfCompromise
Adatgyűjtési szabályok támogatása Jelenleg nem támogatott
Támogatja: Microsoft Corporation

Példák lekérdezésekre

Fenyegetés Intel - Crowdstrike Mutatók a kompromisszum

ThreatIntelligenceIndicator

| where SourceSystem == 'CrowdStrike Falcon Adversary Intelligence'

| sort by TimeGenerated desc

Előfeltételek

A CrowdStrike Falcon Adversary Intelligencerel való integráláshoz (az Azure Functions használatával) győződjön meg arról, hogy rendelkezik a következőkkel:

  • Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
  • A CrowdStrike API ügyfélazonosítója és titkos ügyfélkódja: CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRET, CROWDSTRIKE_BASE_URL. A CrowdStrike hitelesítő adatainak olvasási hatókörrel (Indicators, Falcon Intelligence) kell rendelkezniük.

Szállító telepítési útmutatója

1. LÉPÉS – A CrowdStrike API hitelesítő adatainak létrehozása.

Győződjön meg arról, hogy a "Indicators (Falcon Intelligence)" hatókör ki van jelölve

2. LÉPÉS – Entra-alkalmazás regisztrálása ügyfélkóddal.

Adja meg az Entra-alkalmazásnevet a "Microsoft Sentinel-közreműködő" szerepkör-hozzárendeléssel a megfelelő Log Analytics-munkaterületen. Szerepkörök hozzárendelése az Azure-ban.

3. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez

Fontos

A CrowdStrike Falcon Kiegyeztetési összekötő üzembe helyezése előtt rendelkeznie kell a munkaterület azonosítójával (az alábbiakból másolható).

1. lehetőség – Azure Resource Manager-sablon (ARM)

Ezzel a módszerrel automatikusan üzembe helyezhető a CrowdStrike Falcon Adversary Intelligence összekötő arm-sablonnal.

  1. Válassza a következő Üzembe helyezés az Azure-ban gombot.

    Üzembe helyezés az Azure-ban

  2. Adja meg a következő paramétereket: CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

2. lehetőség – Az Azure Functions manuális üzembe helyezése

A CrowdStrike Falcon Adversary Intelligence összekötő manuális üzembe helyezéséhez kövesse az alábbi lépésenkénti utasításokat az Azure Functionsben (üzembe helyezés a Visual Studio Code-on keresztül).

1. Függvényalkalmazás üzembe helyezése

Elő kell készítenie a VS Code-ot az Azure-függvények fejlesztéséhez.

  1. Töltse le az Azure-függvényalkalmazás fájlját. Archívum kinyerése a helyi fejlesztőszámítógépre.

  2. Indítsa el a VS Code-ot. Válassza a Fájl lehetőséget a főmenüben, és válassza a Mappa megnyitása lehetőséget.

  3. Válassza ki a legfelső szintű mappát a kibontott fájlokból.

  4. Válassza az Azure ikont a Tevékenységsávon, majd az Azure: Függvények területen válassza az Üzembe helyezés függvényalkalmazáshoz gombot. Ha még nincs bejelentkezve, válassza az Azure ikont a Tevékenységsávon, majd az Azure: Functions területen válassza a Bejelentkezés az Azure-ba , ha már bejelentkezett, lépjen a következő lépésre.

  5. Amikor a rendszer kéri, adja meg az alábbi információkat:

    a. Mappa kiválasztása: Válasszon ki egy mappát a munkaterületről, vagy keresse meg a függvényalkalmazást tartalmazó mappát.

    b. Előfizetés kiválasztása: Válassza ki a használni kívánt előfizetést.

    c. Válassza az Új függvényalkalmazás létrehozása az Azure-ban (Ne válassza a Speciális lehetőséget)

    d. Adjon meg egy globálisan egyedi nevet a függvényalkalmazásnak: Írjon be egy URL-elérési úton érvényes nevet. A beírt név ellenőrzése ellenőrzi, hogy egyedi-e az Azure Functionsben. (pl. CrowdStrikeFalconIOCXXXXX).

    e. Válasszon egy futtatókörnyezetet: Válassza a Python 3.9-et.

    f. Válasszon egy helyet az új erőforrásokhoz. A jobb teljesítmény és az alacsonyabb költségek érdekében válassza azt a régiót, ahol a Microsoft Sentinel található.

  6. Az üzembe helyezés megkezdődik. A függvényalkalmazás létrehozása és a telepítőcsomag alkalmazása után megjelenik egy értesítés.

  7. Lépjen az Azure Portalra a függvényalkalmazás konfigurációjához.

2. A függvényalkalmazás konfigurálása

  1. A függvényalkalmazásban válassza ki a függvényalkalmazás nevét, majd válassza a Konfiguráció lehetőséget.

  2. Az Alkalmazásbeállítások lapon válassza az Új alkalmazásbeállítás lehetőséget.

  3. Adja hozzá egyenként az alábbi alkalmazásbeállításokat a megfelelő sztringértékekkel (kis- és nagybetűk megkülönböztetése):

    • CROWDSTRIKE_CLIENT_ID
    • CROWDSTRIKE_CLIENT_SECRET
    • CROWDSTRIKE_BASE_URL
    • TENANT_ID
    • MUTATÓK
    • WorkspaceKey
    • AAD_CLIENT_ID
    • AAD_CLIENT_SECRET
    • LOOK_BACK_DAYS
    • WORKSPACE_ID

  4. Miután megadta az összes alkalmazásbeállítást, válassza a Mentés lehetőséget.

Következő lépések

További információ: a kapcsolódó megoldás az Azure Marketplace-en.