CrowdStrike Falcon Adversary Intelligence-anslutningsprogram (med Azure Functions) för Microsoft Sentinel

Artikel
07/03/2024

CrowdStrike Falcon Indicators of Compromise Connector hämtar indikatorerna för kompromiss från Falcon Intel API och laddar upp dem Microsoft Sentinel Threat Intel.

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslutningsattribut

Anslutningsattribut	beskrivning
Kod för Azure-funktionsapp	https://aka.ms/sentinel-CrowdStrikeFalconAdversaryIntelligence-Functionapp
Log Analytics-tabeller	IndicatorsOfCompromise
Stöd för regler för datainsamling	Stöds för närvarande inte
Stöds av	Microsoft Corporation

Exempel på frågor

Hot intel - Crowdstrike indikatorer på kompromiss

ThreatIntelligenceIndicator

| where SourceSystem == 'CrowdStrike Falcon Adversary Intelligence'

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med CrowdStrike Falcon Adversary Intelligence (med Azure Functions) kontrollerar du att du har:

Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
CrowdStrike API-klient-ID och klienthemlighet: CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRET, CROWDSTRIKE_BASE_URL. CrowdStrike-autentiseringsuppgifter måste ha läsomfånget Indicators (Falcon Intelligence).

Installationsanvisningar för leverantör

STEG 1 – Generera autentiseringsuppgifter för CrowdStrike API.

Kontrollera att omfånget "Indikatorer (Falcon Intelligence)" har "läst" valts

STEG 2 – Registrera en Entra-app med klienthemlighet.

Ange entra-appens huvudnamn med rolltilldelningen "Microsoft Sentinel-deltagare" på respektive log analytics-arbetsyta. Så här tilldelar du roller i Azure.

STEG 3 – Välj EN bland följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

Viktigt!

Innan du distribuerar CrowdStrike Falcon Indicator of Compromise Connector måste du ha arbetsyte-ID :t (kan kopieras från följande).

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av CrowdStrike Falcon Adversary Intelligence-anslutningsappen med hjälp av en ARM-mall.

Välj följande knappen Distribuera till Azure .
Ange följande parametrar: CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera CrowdStrike Falcon Adversary Intelligence-anslutningsappen manuellt med Azure Functions (distribution via Visual Studio Code).

1. Distribuera en funktionsapp

Du måste förbereda VS Code för azure-funktionsutveckling.

Ladda ned Azure Function App-filen. Extrahera arkivet till din lokala utvecklingsdator.
Starta VS Code. Välj Arkiv på huvudmenyn och välj Öppna mapp.
Välj mappen på den översta nivån från extraherade filer.
Välj Azure-ikonen i aktivitetsfältet och välj sedan knappen Distribuera till funktionsapp i området Azure: Functions. Om du inte redan är inloggad väljer du Azure-ikonen i aktivitetsfältet. I området Azure: Functions väljer du Logga in på Azure Om du redan är inloggad går du till nästa steg.
Ange följande information i meddelanderutorna:

a. Välj mapp: Välj en mapp från arbetsytan eller bläddra till en som innehåller din funktionsapp.

b. Välj Prenumeration: Välj den prenumeration som ska användas.

c. Välj Skapa ny funktionsapp i Azure (välj inte alternativet Avancerat)

d. Ange ett globalt unikt namn för funktionsappen: Ange ett namn som är giltigt i en URL-sökväg. Namnet du skriver verifieras för att se till att det är unikt i Azure Functions. (t.ex. CrowdStrikeFalconIOCXXXXX).

e. Välj en körning: Välj Python 3.9.

f. Välj en plats för nya resurser. För bättre prestanda och lägre kostnader väljer du samma region där Microsoft Sentinel finns.
Distributionen påbörjas. Ett meddelande visas när funktionsappen har skapats och distributionspaketet har tillämpats.
Gå till Azure-portalen för konfigurationen av funktionsappen.

2. Konfigurera funktionsappen

I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.
På fliken Programinställningar väljer du Ny programinställning.
Lägg till var och en av följande programinställningar individuellt med sina respektive strängvärden (skiftlägeskänsliga):
- CROWDSTRIKE_CLIENT_ID
- CROWDSTRIKE_CLIENT_SECRET
- CROWDSTRIKE_BASE_URL
- TENANT_ID
- INDIKATORER
- Arbetsytenyckel
- AAD_CLIENT_ID
- AAD_CLIENT_SECRET
- LOOK_BACK_DAYS
- WORKSPACE_ID
När alla programinställningar har angetts väljer du Spara.

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.

Dela via