> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# CrowdStrike

> Intégrez les produits CrowdStrike, notamment Falcon, NG-SIEM et sa plateforme d’identité

## Prise en main

1. Connectez-vous à [https://falcon.crowdstrike.com/login/](https://falcon.crowdstrike.com/login/)
   1. L’URL de votre portail peut être différente selon votre zone géographique
2. Développez le menu de navigation en haut à gauche > Support and resources > **API Clients and keys**
3. Sélectionnez **Create API Client**
4. Sélectionnez les scopes suivants
   1. Alerts - Read / Write
   2. Hosts - Read / Write *(requis pour isoler un terminal et lever son isolement)*
   3. Cases - Read / Write
   4. Threat Graph - Read
   5. Custom IOA Rules - Read
   6. Correlation Rules - Read
   7. Real Time Response (Active Responder) - Write *(requis pour la suppression de fichiers)*
5. Créez et enregistrez le **Client ID**, le **Client Secret** et la **Base URL**
6. Connectez-vous à Wirespeed et accédez à Intégrations > [Ajouter une intégration](https://app.wirespeed.co/settings/integrations?tab=browse) > CrowdStrike, puis fournissez les informations de l’étape 5.

## Actualisation des détections

Wirespeed synchronise automatiquement l’état des détections depuis CrowdStrike Falcon, afin que vos détections restent à jour sans intervention manuelle.

### Quand s’exécute-t-elle ?

L’actualisation des détections s’exécute **toutes les 15 minutes** pour toutes les détections escaladées en cours de traitement. Plus précisément, une détection doit remplir tous les critères suivants pour être actualisée :

* La détection a été **escaladée** à un moment donné
* Son statut actuel est l’un des suivants : **Chat Ops**, **Chasse en cours**, **Sous surveillance** ou **Escaladé**
* La détection a été créée au cours des **14 derniers jours**

L’actualisation s’exécute également lors de la **création d’un dossier**, afin de récupérer les dernières notes et les derniers journaux de CrowdStrike avant l’ouverture du dossier.

### Qu’est-ce qui est mis à jour ?

Chaque actualisation récupère l’état actuel de l’alerte via l’API CrowdStrike et recherche les changements :

* **Statut et verdict** — Si CrowdStrike marque une détection comme faux positif (via des tags, une résolution ou un triage automatisé), Wirespeed clôture automatiquement la détection comme Bénigne. Les confirmations de vrai positif sont journalisées.
* **Falcon Complete** — Si la détection est attribuée à CrowdStrike Falcon Complete, une note et une entrée de journal sont ajoutées pour indiquer que Falcon Complete gère la détection.
* **Notes** — Les commentaires de CrowdStrike sont synchronisés sous forme de notes sur la détection. Les notes signalées pour le dossier sont fusionnées dans le dossier associé, le cas échéant.
* **Responsable** — Si l’alerte a un responsable attribué dans CrowdStrike, celui-ci est enregistré sur la détection.

> [!NOTE]
>
> Lors de la première synchronisation, Wirespeed récupère les détections des **90 derniers jours** au maximum, dans la limite des **5 000** détections les plus récentes.

## Remédiation des terminaux

Wirespeed peut isoler du réseau les hôtes CrowdStrike Falcon et lever leur confinement via l’API Falcon **PerformActionV2** (actions `contain` et `lift_containment`).

* **Isoler le terminal** — applique le confinement réseau à l’ID d’agent hôte (`device_id`) enregistré sur le terminal.
* **Lever l’isolement** — lève le confinement réseau sur ce même ID d’agent hôte.

Ces actions nécessitent le scope d’API **Hosts: Write** en plus de **Hosts: Read**.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.