[已淘汰]CrowdStrike Falcon Endpoint Protection 透過適用於 Microsoft Sentinel 的舊版代理程序連接器

CrowdStrike Falcon Endpoint Protection 連接器可讓您輕鬆地將 CrowdStrike Falcon 事件串流與 Microsoft Sentinel 連線，以建立自訂儀表板、警示及改善調查。 這可讓您深入了解組織的端點，並改善安全性作業功能。

這是自動產生的內容。 如需變更，請連絡解決方案提供者。

連接器屬性

連接器屬性	描述
記錄分析資料表	CommonSecurityLog (CrowdStrikeFalconEventStream)
資料收集規則支援	工作區轉換 DCR
支援者：	Microsoft Corporation

查詢範例

前 10 多偵測數的主機

CrowdStrikeFalconEventStream 

| where EventType == "DetectionSummaryEvent" 

| summarize count() by DstHostName 

| top 10 by count_

前 10 多偵測數的使用者

CrowdStrikeFalconEventStream 

| where EventType == "DetectionSummaryEvent" 

| summarize count() by DstUserName 

| top 10 by count_

廠商安裝指示

注意：此資料連接器取決於以 Kusto 函數為基礎的剖析器，如預期般運作，部署為解決方案的一部分。 若要在 Log Analytics 中檢視函式程式碼，請開啟 [Log Analytics/Microsoft Sentinel Logs] 刀鋒視窗，按一下 [函式]，然後搜尋別名 Crowd Strike Falcon Endpoint Protection 並載入函式程式碼，或按一下這裡，在查詢的第二行輸入 CrowdStrikeFalcon 裝置的主機名稱，以及記錄資料流程的任何其他唯一識別碼。 在安裝/更新解決方案之後，函式通常需要 10-15 分鐘才能啟動。

1.0 Linux Syslog 代理程式設定

安裝並設定 Linux 代理程式，以收集常見事件格式 (CEF) 的 Syslog 訊息，然後將這些訊息轉送至 Microsoft Sentinel。

請注意，所有區域的資料皆會儲存在選取的工作區中

1.1 選取或建立 Linux 電腦

選取或建立 Linux 機器，Microsoft Sentinel 將使用此機器作為安全性解決方案與 Microsoft Sentinel 之間的 Proxy。此機器可以在內部部署環境、Azure 或其他雲端中。

1.2 在 Linux 電腦上安裝 CEF 收集器

在 Linux 機器上安裝 Microsoft Monitoring Agent，並將該機器設定為在必要的連接埠上接聽訊息，然後將這些訊息轉送至 Microsoft Sentinel 工作區。 CEF 收集器會在連接埠 514 TCP 上收集 CEF 訊息。

1. 請使用下列命令 python -version，確定機器上有 Python。

2. 您在機器上必須具有更高的權限 (sudo)。

   請執行下列命令安裝及套用 CEF 收集器:

   sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

3. 將 CrowdStrike Falcon 事件串流記錄轉送至 Syslog 代理程式

部署 CrowdStrike Falcon SIEM 收集器，透過 Syslog 代理程式將 CEF 格式的 Syslog 訊息轉送至 Microsoft Sentinel 工作區。

1. 請遵循這些指示，以部署 SIEM 收集器並轉送 syslog

2. 使用 Linux 裝置的 IP 位址或主機名稱，並將 Linux 代理程式安裝為目的地 IP 位址。

3. 驗證連線

請遵循指示以驗證連線能力：

開啟 Log Analytics，檢查是否使用 CommonSecurityLog 結構描述接收記錄。

連線將資料串流至工作區可能需要大約 20 分鐘的時間。

若未收到記錄，請執行下列連線驗證指令碼：

1. 請使用下列命令 python -version，確定機器上有 Python。

2. 您在機器上必須具有更高的權限 (sudo)

   請執行下列命令驗證連線能力:

   sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

3. 保護您的機器

請務必根據組織的安全性原則設定機器的安全性

深入了解

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案 (英文)。