Saltar al contenido principal

​
Primeros pasos

  1. Inicie sesión en https://falcon.crowdstrike.com/login/
    1. Es posible que tenga una URL de portal distinta según la geolocalización
  2. Expanda la navegación en la parte superior izquierda > Support and resources > API Clients and keys
  3. Seleccione Create API Client
  4. Seleccione los siguientes alcances
    1. Alerts - Read / Write (Write es necesario para sincronizar el estado de la alerta, el veredicto y los comentarios de vuelta a CrowdStrike)
    2. Hosts - Read / Write (necesario para aislar y desaislar puntos de conexión)
    3. Cases - Read / Write
    4. Threat Graph - Read
    5. Custom IOA Rules - Read
    6. Correlation Rules - Read
    7. Real Time Response (Active Responder) - Write (necesario para la eliminación de archivos)
  5. Cree y guarde el Client ID, el Client Secret y la Base URL
  6. Inicie sesión en Wirespeed y vaya a Integraciones > Añadir integración > Crowdstrike y proporcione la información del paso 5.

​
Actualización de detecciones

Wirespeed sincroniza automáticamente el estado de las detecciones desde CrowdStrike Falcon para que sus detecciones se mantengan actualizadas sin intervención manual.

​
¿Cuándo se ejecuta?

La actualización de detecciones se ejecuta cada 15 minutos para todas las detecciones escaladas que se estén trabajando de forma activa. En concreto, las detecciones deben cumplir todos los criterios siguientes para actualizarse:
  • La detección se escaló en algún momento
  • El estado actual es uno de: Chat Ops, Cazando o Escalada
  • La detección se creó en los últimos 14 días
La actualización también se ejecuta durante la creación del caso para obtener las notas y los registros más recientes de CrowdStrike antes de abrir un caso.

​
¿Qué se actualiza?

Cada actualización obtiene el estado actual de la alerta desde la API de CrowdStrike y comprueba si hay cambios:
  • Estado y veredicto — Si CrowdStrike marca una detección como falso positivo (mediante etiquetas, resolución o triaje automatizado), Wirespeed cierra automáticamente la detección como benigna. Las confirmaciones de verdaderos positivos se registran.
  • Falcon Complete — Si la detección se asigna a CrowdStrike Falcon Complete, se añaden una nota y un registro indicando que Falcon Complete está gestionando la detección.
  • Notas — Los comentarios de CrowdStrike se sincronizan como notas en la detección. Las notas marcadas para el caso se fusionan en cualquier caso asociado.
  • Asignado — Si la alerta tiene un asignado en CrowdStrike, se registra en la detección.
En la primera sincronización, Wirespeed obtiene detecciones de hasta los últimos 90 días, con un límite de las 5.000 detecciones más recientes.

​
Remediación de puntos de conexión

Wirespeed puede aislar de la red y levantar la contención en hosts de CrowdStrike Falcon a través de la API PerformActionV2 de Falcon (acciones contain y lift_containment).
  • Aislar punto de conexión — aplica contención de red al ID de agente del host (device_id) almacenado en el punto de conexión.
  • Desaislar punto de conexión — levanta la contención de red del mismo ID de agente del host.
Estas acciones requieren el alcance de API Hosts: Write además de Hosts: Read.