Mengumpulkan log Deteksi CrowdStrike

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Dokumen ini menjelaskan cara mengekspor log Deteksi CrowdStrike ke Google Security Operations melalui feed Google Security Operations, dan cara kolom Deteksi CrowdStrike dipetakan ke kolom Unified Data Model (UDM) Google Security Operations.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan penyerapan data ke Google Security Operations.

Deployment standar terdiri dari CrowdStrike dan feed Google Security Operations yang dikonfigurasi untuk mengirim log ke Google Security Operations. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• CrowdStrike Falcon Intelligence: Produk CrowdStrike tempat Anda mengumpulkan log.

• Feed CrowdStrike. Feed CrowdStrike yang mengambil log dari CrowdStrike dan menulis log ke Google SecOps.

• Google Security Operations: Menyimpan dan menganalisis log Deteksi CrowdStrike.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label transfer CS_DETECTS.

Sebelum memulai

• Pastikan Anda memiliki hak administrator di instance CrowdStrike untuk menginstal sensor Host CrowdStrike Falcon.

• Pastikan semua sistem dalam arsitektur deployment dikonfigurasi dalam zona waktu UTC

• Pastikan perangkat berjalan di sistem operasi yang didukung.

  • OS harus berjalan di server 64-bit. Microsoft Windows server 2008 R2 SP1 didukung untuk sensor Host CrowdStrike Falcon versi 6.51 atau yang lebih baru.
  • Sistem yang menjalankan versi OS lama (misalnya, Windows 7 SP1) memerlukan dukungan penandatanganan kode SHA-2 yang diinstal di perangkatnya.

• Dapatkan file akun layanan Google Security Operations dan ID pelanggan Anda dari tim dukungan Google Security Operations.

Mengonfigurasi CrowdStrike untuk menyerap log

Untuk menyiapkan feed transfer, ikuti langkah-langkah berikut:

1. Buat pasangan kunci klien API baru di CrowdStrike Falcon. Pasangan kunci ini membaca peristiwa dan informasi tambahan dari CrowdStrike Falcon.
2. Berikan izin READ ke Detections saat membuat pasangan kunci.

Mengonfigurasi feed di Google Security Operations untuk menyerap log Deteksi CrowdStrike

1. Buka Setelan SIEM > Feed.
2. Klik Add New.
3. Masukkan nama unik untuk Nama Kolom.
4. Pilih API pihak ketiga sebagai Jenis Sumber.
5. Pilih CrowdStrike Detection Monitoring sebagai Log Type.
6. Klik Berikutnya.
7. Konfigurasikan parameter input wajib berikut:
   • Endpoint Token OAuth: tentukan endpoint.
   • Client ID OAuth: tentukan client ID yang Anda peroleh sebelumnya.
   • Rahasia Klien OAuth: tentukan rahasia klien yang Anda dapatkan sebelumnya.
   • Base URL: tentukan Base URL.
8. Klik Berikutnya, lalu klik Kirim.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.