CrowdStrike Event Streams

Panther는 CrowdStrike의 Event Streams API 연결을 지원합니다

개요

Panther는 CrowdStrike 이벤트를 CrowdStrike Event Streams API를 쿼리하여 가져올 수 있습니다. Panther는 매 1분마다 새 이벤트를 쿼리합니다.

CrowdStrike Event Streams는 SaaS 감사 활동 및 CrowdStrike Detection Summary 이벤트를 포함하는 비-센서 데이터만 내보냅니다. 장치 텔레메트리를 수집하려면 CrowdStrike Falcon Data Replicator (FDR) 소스가 필요합니다.

Panther가 Event Streams API에서 새 이벤트를 쿼리하는 동작 자체가 추가적인 Crowdstrike.EventStreams 로그를 생성합니다. 이로 인해 통합에 원치 않는 노이즈가 발생하면 수집 필터 를 구성하여 이러한 로그를 필터링할 수 있습니다.

CrowdStrike Event Streams 로그를 Panther에 온보딩하는 방법

전제 조건

• 이 방법을 사용하려면 먼저 CrowdStrike 지원팀에 문의 하여 CrowdStrike 계정에서 스트리밍 API를 활성화해야 합니다.

1단계: CrowdStrike Falcon API 클라이언트 생성

1. 관리자 권한이 있는 계정으로 Falcon 콘솔에 로그인합니다.

2. 탐색 표시줄에서 지원 및 리소스 > API 클라이언트 및 키.

3. 내에서 OAuth2 API 클라이언트 탭에서 API 클라이언트 생성.

4. 양식을 API 클라이언트 생성 작성합니다:

   • 클라이언트 이름: 설명이 포함된 이름을 입력하세요.

   • 설명: 유용한 설명을 입력하세요.

   • 권한 테이블에서, 이벤트 스트림 행에서 읽기 체크박스를 선택하세요.

5. 클릭 생성.

6. 다음 생성된 API 클라이언트 팝업 모달에 표시됩니다 클라이언트 ID, 비밀(Secret), 및 기본 URL 값이 표시됩니다. 다음 단계에서 필요하므로 이 값들을 복사하여 안전한 위치에 보관하세요. 이것은 비밀(Secret) 가 표시되는 유일한 시간입니다.

7. 클릭 완료.

2단계: Panther에서 새로운 CrowdStrike Event Streams 소스 생성

1. Panther 콘솔의 왼쪽 탐색 표시줄에서 구성 > 로그 소스.

2. 클릭 새로 생성.

3. "CrowdStrike Event Streams"를 검색한 후 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서 설정 시작.

5. 구성 페이지에서 소스에 대한 설명이 포함된 이름 을 입력하세요.

6. 클릭 설치.

7. 자격 증명 페이지에서 양식을 작성하세요:

   • 클라이언트 ID: 이전 단계에서 CrowdStrike에서 생성한 클라이언트 ID 를 입력하세요.

   • 클라이언트 시크릿: 이전 단계에서 CrowdStrike에서 생성한 비밀(Secret) 를 입력하세요.

   • 클라이언트 클라우드: 기본 URL 를 입력하세요.

   • 앱 ID: 연결을 식별할 레이블을 입력하세요.

     • 최대 20자의 영숫자 문자(a-z, A-Z, 0-9)입니다.

   • 멤버 CID (선택 사항): CrowdStrike 클라이언트 ID와 시크릿이 여러 CID에 접근할 수 있는 경우, 선택적으로 고객 ID(CID) 선택자를 입력하세요.

8. 클릭 설치. 성공 화면으로 이동합니다:

   

   • 선택적으로 하나 이상의 디텍션 팩.

   • 다음 이벤트가 처리되지 않을 때 알러트 트리거 설정의 기본값은 예입니다. 데이터가 일정 기간 후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 간격은 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Crowdstrike.EventStreams

Crowdstrike.EventStreams 로그는 Falcon 센서가 호스트에서 관찰하고 Falcon 콘솔의 조사 대시보드 및 검색에 표시되는 활동을 나타냅니다.

스키마: Crowdstrike.EventStreams
설명: Falcon 센서가 호스트에서 관찰하고 Falcon 콘솔의 Investigate 대시보드 및 검색에 표시되는 활동과 관련된 이벤트
참고URL: https://developer.crowdstrike.com/crowdstrike/docs/streaming-api-events
필드:
  - 이름: event
    필수: true
    설명: 탐지 또는 감사 이벤트의 데이터
    유형: 객체
    필드:
      - 이름: OperationName
        설명: 작업 이름
        유형: 문자열
      - 이름: ServiceName
        설명: 서비스 이름
        유형: 문자열
      - 이름: UTCTimestamp
        설명: 작업이 발생한 시간(UNIX EPOCH 시간)
        유형: 타임스탬프
        시간 형식:
          - unix_auto
        isEventTime: true
      - 이름: UserId
        유형: 문자열
        지표:
          - 이메일
      - 이름: UserIp
        유형: 문자열
        지표:
          - IP
      - 이름: Success
        유형: 불리언
      - 이름: ComputerName
        설명: 호스트 이름
        유형: 문자열
        지표:
          - 호스트이름
      - 이름: Hostname
        설명: 로컬 머신의 호스트 이름
        유형: 문자열
        지표:
          - 호스트이름
      - 이름: DetectDescription
        설명: |
          환경에서 적대자가 무엇을 시도했는지에 대한 설명과 조사 시작을 위한 안내입니다. 참고: 이러한 설명은 상세하고 콘솔 경험에 도움이 되지만, 값이 정기적으로 업데이트되고 추가되므로 워크플로우를 구동하기 위해 이 필드를 사용하지 않는 것을 권장합니다
        유형: 문자열
      - 이름: Description
        유형: 문자열
      - 이름: DetectId
        설명: 탐지의 Detection ID입니다. Detection Resolution 및 ThreatGraph와 같은 다른 API에서 사용할 수 있습니다
        유형: 문자열
      - 이름: CompositeId
        유형: 문자열
      - 이름: FalconHostLink
        설명: Falcon 콘솔에서 탐지 이벤트를 보기 위한 링크
        유형: 문자열
        지표:
          - URL
      - 이름: IOARuleInstanceId
        유형: 문자열
      - 이름: IOARuleInstanceVersion
        유형: 문자열
      - 이름: IOARuleName
        유형: 문자열
      - 이름: IOARuleGroupName
        유형: 문자열
      - 이름: FileName
        유형: 문자열
      - 이름: FilePath
        유형: 문자열
      - 이름: ProcessStartTime
        설명: 프로세스가 시작된 시간(UNIX EPOCH 시간)
        유형: 타임스탬프
        시간 형식:
          - unix_auto
      - 이름: ProcessEndTime
        설명: 프로세스가 종료된 시간(UNIX EPOCH 시간)
        유형: 타임스탬프
        시간 형식:
          - unix_auto
      - 이름: ProcessId
        설명: 프로세스 ID
        유형: 문자열
      - 이름: UserName
        설명: 사용자 이름
        유형: 문자열
        지표:
          - 사용자이름
      - 이름: DetectName
        설명: |
          참고: DetectName 필드는 MITRE의 ATT&CK에 맞추어 Objective, Tactic, Technique로 대체되었습니다. DetectName은 2019년 1월 16일에 사용 중단될 예정입니다 - 자세한 정보
        유형: 문자열
      - 이름: Name
        유형: 문자열
      - 이름: CommandLine
        설명: 이 프로세스를 생성하는 데 사용된 명령줄
        유형: 문자열
      - 이름: MD5String
        설명: MD5 해시
        유형: 문자열
        지표:
          - md5
      - 이름: SHA1String
        유형: 문자열
        지표:
          - sha1
      - 이름: SHA256String
        설명: SHA256 해시
        유형: 문자열
        지표:
          - sha256
      - 이름: MachineDomain
        설명: 머신이 현재 조인된 Windows 도메인 이름
        유형: 문자열
      - 이름: SensorId
        설명: Falcon 센서 에이전트 ID
        유형: 문자열
      - 이름: LocalIP
        유형: 문자열
        지표:
          - IP
      - 이름: MACAddress
        유형: 문자열
        지표:
          - mac
      - 이름: Objective
        설명: 동작과 연관된 목표의 이름
        유형: 문자열
      - 이름: PatternDispositionDescription
        설명: 동작에 대해 취해진 조치와 연관된 패턴의 설명
        유형: 문자열
      - 이름: PatternDispositionValue
        설명: 동작에 대해 취해진 조치와 연관된 패턴의 숫자 ID
        유형: bigint
      - 이름: PatternDispositionFlags
        유형: json
      - 이름: DocumentsAccessed
        유형: 배열
        요소:
          유형: 객체
          필드:
            - 이름: Timestamp
              설명: 문서에 접근한 시간(UNIX EPOCH 시간)
              유형: 타임스탬프
              시간 형식:
                - unix_auto
            - 이름: Filename
              설명: |
                액세스된 파일의 이름. 참고: Detect Summary는 0개 이상의 DocumentsAccessed_FileName 항목을 가질 수 있으며 각 DocumentsAccessed_FileName 항목에 타임스탬프가 있습니다.
              유형: 문자열
            - 이름: Filepath
              설명: |
                문서가 액세스된 경우의 파일 경로. 참고: Detect Summary는 0개 이상의 DocumentsAccessed_FilePath 항목을 가질 수 있습니다.
              유형: 문자열
      - 이름: Commands
        유형: 배열
        요소:
          유형: 문자열
      - 이름: ParentProcessId
        설명: 부모 프로세스 ID
        유형: 문자열
      - 이름: ParentCommandLine
        유형: 문자열
      - 이름: ParentImageFileName
        유형: 문자열
      - 이름: GrandparentCommandLine
        유형: 문자열
      - 이름: GrandparentImageFilename
        유형: 문자열
      - 이름: NetworkAccesses
        유형: 배열
        요소:
          유형: 객체
          필드:
            - 이름: ConnectionDirection
              설명: 연결이 인바운드(1), 아웃바운드(0) 또는 해당 없음(2)인지 여부
              유형: 정수
            - 이름: LocalAddress
              설명: 로컬 IP 주소
              유형: 문자열
              지표:
                - IP
            - 이름: LocalPort
              설명: 네트워크 연결의 로컬 포트(일반 포트 번호). (예: 들어오는 ssh 연결은 22)
              유형: bigint
            - 이름: Protocol
              설명: RFC-1700 IP 프로토콜 식별자
              유형: 문자열
            - 이름: RemoteAddress
              설명: 원격 IP 주소
              유형: 문자열
              지표:
                - IP
            - 이름: RemotePort
              설명: 원격 포트
              유형: bigint
      - 이름: Severity
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        유형: 부동
      - 이름: SeverityName
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        유형: 문자열
      - 이름: Tactic
        설명: 동작과 연관된 전술의 이름
        유형: 문자열
      - 이름: Technique
        설명: 동작과 연관된 기술의 이름
        유형: 문자열
      - 이름: AuditKeyValues
        유형: 배열
        요소:
          유형: json
      - 이름: IncidentType
        유형: 문자열
      - 이름: IncidentStartTime
        유형: 타임스탬프
        시간 형식:
          - unix_auto
      - 이름: IncidentEndTime
        유형: 타임스탬프
        시간 형식:
          - unix_auto
      - 이름: IncidentId
        유형: 문자열
      - 이름: State
        유형: 문자열
      - 이름: FineScore
        유형: 부동
      - 이름: LateralMovement
        유형: 문자열
      - 이름: SessionId
        유형: 문자열
        지표:
          - trace_id
      - 이름: HostnameField
        유형: 문자열
        지표:
          - 호스트이름
      - 이름: StartTimestamp
        유형: 타임스탬프
        시간 형식:
          - unix_auto
      - 이름: EndTimestamp
        유형: 타임스탬프
        시간 형식:
          - unix_auto
  - 이름: metadata
    필수: true
    설명: 이 탐지 또는 감사 이벤트의 메타데이터
    유형: 객체
    필드:
      - 이름: customerIDString
        설명: CS가 각 고객에게 할당한 고유 ID
        유형: 문자열
      - 이름: offset
        필수: true
        설명: |
          offset=0에서 시작합니다. 각 새 이벤트(AuthActivityAuditEvent, DetectionSummaryEvent, UserActivityAuditEvent)는 오프셋 카운터를 하나씩 증가시킵니다. Falcon Streaming API에 재연결할 때 이벤트를 수신하기 시작할 시작점을 API에 알려주기 위해 오프셋 값을 지정할 수 있습니다. 생략하면 API는 offset=0부터 시작하는 모든 이전 Detection Summary 또는 Authentication 이벤트를 반환합니다
        유형: bigint
      - 이름: version
        유형: 문자열
      - 이름: eventType
        유형: 문자열
      - 이름: eventCreationTime
        필수: true
        설명: 이 이벤트가 생성된 시간(UNIX EPOCH 시간)
        유형: 타임스탬프
        시간 형식:
          - unix_auto
        isEventTime: true