> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# CrowdStrike

> Integration mit CrowdStrike-Produkten wie Falcon, NG-SIEM und der Identity-Plattform von CrowdStrike

## Erste Schritte

1. Melden Sie sich unter [https://falcon.crowdstrike.com/login/](https://falcon.crowdstrike.com/login/) an
   1. Je nach geografischem Standort kann Ihre Portal-URL abweichen
2. Erweitern Sie oben links die Navigation > Support and resources > **API Clients and keys**
3. Wählen Sie **Create API Client**
4. Wählen Sie die folgenden Scopes
   1. Alerts - Read / Write
   2. Hosts - Read / Write *(erforderlich für das Isolieren von Endgeräten und das Aufheben der Isolierung)*
   3. Cases - Read / Write
   4. Threat Graph - Read
   5. Custom IOA Rules - Read
   6. Correlation Rules - Read
   7. Real Time Response (Active Responder) - Write *(erforderlich für das Löschen von Dateien)*
5. Erstellen und speichern Sie **Client ID**, **Client Secret** und **Base URL**
6. Melden Sie sich bei Wirespeed an, navigieren Sie zu Integrationen > [Integration hinzufügen](https://app.wirespeed.co/settings/integrations?tab=browse) > Crowdstrike und geben Sie die Informationen aus Schritt 5 ein.

## Aktualisierung von Detektionen

Wirespeed synchronisiert den Detektionsstatus automatisch aus CrowdStrike Falcon, sodass Ihre Detektionen ohne manuelles Eingreifen aktuell bleiben.

### Wann wird sie ausgeführt?

Die Aktualisierung von Detektionen läuft **alle 15 Minuten** für alle eskalierten Detektionen, die aktiv bearbeitet werden. Konkret müssen Detektionen alle folgenden Kriterien erfüllen, um aktualisiert zu werden:

* Die Detektion wurde zu irgendeinem Zeitpunkt **eskaliert**
* Der aktuelle Status ist einer der folgenden: **Chat Ops**, **Threat Hunting**, **Wird überwacht** oder **Eskaliert**
* Die Detektion wurde innerhalb der **letzten 14 Tage** erstellt

Die Aktualisierung läuft außerdem bei der **Fallerstellung**, um die neuesten Notizen und Protokolle aus CrowdStrike abzurufen, bevor ein Fall eröffnet wird.

### Was wird aktualisiert?

Bei jeder Aktualisierung wird der aktuelle Status der Warnung über die CrowdStrike-API abgerufen und auf Änderungen geprüft:

* **Status und Bewertung** – Wenn CrowdStrike eine Detektion als Fehlalarm markiert (über Tags, die Resolution oder die automatisierte Triage), schließt Wirespeed die Detektion automatisch als Benign. Bestätigte Treffer werden protokolliert.
* **Falcon Complete** – Wenn die Detektion CrowdStrike Falcon Complete zugewiesen ist, werden eine Notiz und ein Protokolleintrag hinzugefügt, die darauf hinweisen, dass Falcon Complete die Detektion bearbeitet.
* **Notizen** – Kommentare aus CrowdStrike werden als Notizen zur Detektion synchronisiert. Für den Fall markierte Notizen werden in den zugehörigen Fall übernommen.
* **Zuständige Person** – Wenn der Warnung in CrowdStrike eine zuständige Person zugewiesen ist, wird diese an der Detektion vermerkt.

> [!NOTE]
>
> Bei der ersten Synchronisierung ruft Wirespeed Detektionen aus bis zu den letzten **90 Tagen** ab, begrenzt auf die neuesten **5.000** Detektionen.

## Endgerätebezogene Behebung

Wirespeed kann CrowdStrike-Falcon-Hosts über die Falcon-API **PerformActionV2** (Aktionen `contain` und `lift_containment`) im Netzwerk isolieren und die Eindämmung wieder aufheben.

* **Endgerät isolieren** – wendet die Netzwerkeindämmung auf die am Endgerät gespeicherte Host-Agent-ID (`device_id`) an.
* **Isolierung aufheben** – hebt die Netzwerkeindämmung für dieselbe Host-Agent-ID auf.

Diese Aktionen erfordern zusätzlich zu **Hosts: Read** den API-Scope **Hosts: Write**.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.