Zum Hauptinhalt springen

​
Erste Schritte

  1. Melden Sie sich unter https://falcon.crowdstrike.com/login/ an
    1. Je nach geografischem Standort kann Ihre Portal-URL abweichen
  2. Erweitern Sie oben links die Navigation > Support and resources > API Clients and keys
  3. Wählen Sie Create API Client
  4. Wählen Sie die folgenden Scopes
    1. Alerts - Read / Write
    2. Hosts - Read / Write (erforderlich für das Isolieren von Endgeräten und das Aufheben der Isolierung)
    3. Cases - Read / Write
    4. Threat Graph - Read
    5. Custom IOA Rules - Read
    6. Correlation Rules - Read
    7. Real Time Response (Active Responder) - Write (erforderlich für das Löschen von Dateien)
  5. Erstellen und speichern Sie Client ID, Client Secret und Base URL
  6. Melden Sie sich bei Wirespeed an, navigieren Sie zu Integrationen > Integration hinzufügen > Crowdstrike und geben Sie die Informationen aus Schritt 5 ein.

​
Aktualisierung von Detektionen

Wirespeed synchronisiert den Detektionsstatus automatisch aus CrowdStrike Falcon, sodass Ihre Detektionen ohne manuelles Eingreifen aktuell bleiben.

​
Wann wird sie ausgeführt?

Die Aktualisierung von Detektionen läuft alle 15 Minuten für alle eskalierten Detektionen, die aktiv bearbeitet werden. Konkret müssen Detektionen alle folgenden Kriterien erfüllen, um aktualisiert zu werden:
  • Die Detektion wurde zu irgendeinem Zeitpunkt eskaliert
  • Der aktuelle Status ist einer der folgenden: Chat Ops, Threat Hunting, Wird überwacht oder Eskaliert
  • Die Detektion wurde innerhalb der letzten 14 Tage erstellt
Die Aktualisierung läuft außerdem bei der Fallerstellung, um die neuesten Notizen und Protokolle aus CrowdStrike abzurufen, bevor ein Fall eröffnet wird.

​
Was wird aktualisiert?

Bei jeder Aktualisierung wird der aktuelle Status der Warnung über die CrowdStrike-API abgerufen und auf Änderungen geprüft:
  • Status und Bewertung – Wenn CrowdStrike eine Detektion als Fehlalarm markiert (über Tags, die Resolution oder die automatisierte Triage), schließt Wirespeed die Detektion automatisch als Benign. Bestätigte Treffer werden protokolliert.
  • Falcon Complete – Wenn die Detektion CrowdStrike Falcon Complete zugewiesen ist, werden eine Notiz und ein Protokolleintrag hinzugefügt, die darauf hinweisen, dass Falcon Complete die Detektion bearbeitet.
  • Notizen – Kommentare aus CrowdStrike werden als Notizen zur Detektion synchronisiert. Für den Fall markierte Notizen werden in den zugehörigen Fall übernommen.
  • Zuständige Person – Wenn der Warnung in CrowdStrike eine zuständige Person zugewiesen ist, wird diese an der Detektion vermerkt.
Bei der ersten Synchronisierung ruft Wirespeed Detektionen aus bis zu den letzten 90 Tagen ab, begrenzt auf die neuesten 5.000 Detektionen.

​
Endgerätebezogene Behebung

Wirespeed kann CrowdStrike-Falcon-Hosts über die Falcon-API PerformActionV2 (Aktionen contain und lift_containment) im Netzwerk isolieren und die Eindämmung wieder aufheben.
  • Endgerät isolieren – wendet die Netzwerkeindämmung auf die am Endgerät gespeicherte Host-Agent-ID (device_id) an.
  • Isolierung aufheben – hebt die Netzwerkeindämmung für dieselbe Host-Agent-ID auf.
Diese Aktionen erfordern zusätzlich zu Hosts: Read den API-Scope Hosts: Write.