Passer au contenu principal

​
Prise en main

  1. Connectez-vous à https://falcon.crowdstrike.com/login/
    1. L’URL de votre portail peut être différente selon votre zone géographique
  2. Développez le menu de navigation en haut à gauche > Support and resources > API Clients and keys
  3. Sélectionnez Create API Client
  4. Sélectionnez les scopes suivants
    1. Alerts - Read / Write
    2. Hosts - Read / Write (requis pour isoler un terminal et lever son isolement)
    3. Cases - Read / Write
    4. Threat Graph - Read
    5. Custom IOA Rules - Read
    6. Correlation Rules - Read
    7. Real Time Response (Active Responder) - Write (requis pour la suppression de fichiers)
  5. Créez et enregistrez le Client ID, le Client Secret et la Base URL
  6. Connectez-vous à Wirespeed et accédez à Intégrations > Ajouter une intégration > CrowdStrike, puis fournissez les informations de l’étape 5.

​
Actualisation des détections

Wirespeed synchronise automatiquement l’état des détections depuis CrowdStrike Falcon, afin que vos détections restent à jour sans intervention manuelle.

​
Quand s’exécute-t-elle ?

L’actualisation des détections s’exécute toutes les 15 minutes pour toutes les détections escaladées en cours de traitement. Plus précisément, une détection doit remplir tous les critères suivants pour être actualisée :
  • La détection a été escaladée à un moment donné
  • Son statut actuel est l’un des suivants : Chat Ops, Chasse en cours, Sous surveillance ou Escaladé
  • La détection a été créée au cours des 14 derniers jours
L’actualisation s’exécute également lors de la création d’un dossier, afin de récupérer les dernières notes et les derniers journaux de CrowdStrike avant l’ouverture du dossier.

​
Qu’est-ce qui est mis à jour ?

Chaque actualisation récupère l’état actuel de l’alerte via l’API CrowdStrike et recherche les changements :
  • Statut et verdict — Si CrowdStrike marque une détection comme faux positif (via des tags, une résolution ou un triage automatisé), Wirespeed clôture automatiquement la détection comme Bénigne. Les confirmations de vrai positif sont journalisées.
  • Falcon Complete — Si la détection est attribuée à CrowdStrike Falcon Complete, une note et une entrée de journal sont ajoutées pour indiquer que Falcon Complete gère la détection.
  • Notes — Les commentaires de CrowdStrike sont synchronisés sous forme de notes sur la détection. Les notes signalées pour le dossier sont fusionnées dans le dossier associé, le cas échéant.
  • Responsable — Si l’alerte a un responsable attribué dans CrowdStrike, celui-ci est enregistré sur la détection.
Lors de la première synchronisation, Wirespeed récupère les détections des 90 derniers jours au maximum, dans la limite des 5 000 détections les plus récentes.

​
Remédiation des terminaux

Wirespeed peut isoler du réseau les hôtes CrowdStrike Falcon et lever leur confinement via l’API Falcon PerformActionV2 (actions contain et lift_containment).
  • Isoler le terminal — applique le confinement réseau à l’ID d’agent hôte (device_id) enregistré sur le terminal.
  • Lever l’isolement — lève le confinement réseau sur ce même ID d’agent hôte.
Ces actions nécessitent le scope d’API Hosts: Write en plus de Hosts: Read.