CrowdStrike 이벤트 스트림

Panther는 CrowdStrike의 Event Streams API에 연결하는 것을 지원합니다

개요

Panther는 CrowdStrike 이벤트를 CrowdStrike Event Streams API를 쿼리하여 가져올 수 있습니다. Panther는 새 이벤트를 1분마다 쿼리합니다.

CrowdStrike Event Streams는 SaaS 감사 활동 및 CrowdStrike 디텍션 요약 이벤트를 포함하는 비-센서 데이터를 내보내기만 합니다. 장치 텔레메트리를 수집하려면 CrowdStrike Falcon Data Replicator (FDR) 소스가 필요합니다.

Panther가 새 이벤트를 위해 Event Streams API를 쿼리하는 동작 자체가 추가적인 Crowdstrike.EventStreams 로그를 생성합니다. 통합에서 원하지 않는 노이즈를 생성하는 경우, 수집 필터 를 구성하여 이러한 로그를 필터링할 수 있습니다.

CrowdStrike Event Streams 로그를 Panther에 온보딩하는 방법

전제 조건

• 이 방법을 사용하기 전에, 먼저 CrowdStrike 지원팀에 문의하십시오 하여 귀하의 CrowdStrike 계정에서 스트리밍 API를 활성화해야 합니다.

1단계: CrowdStrike Falcon API 클라이언트 생성

1. 관리자 수준 권한이 있는 계정으로 Falcon 콘솔에 로그인합니다.

2. 탐색 표시줄에서 지원 및 리소스 > API 클라이언트 및 키.

3. 내부의 OAuth2 API 클라이언트 탭에서 API 클라이언트 생성.

4. 다음 API 클라이언트 생성 양식을 작성합니다:

   • 클라이언트 이름: 설명적인 이름을 입력하세요.

   • 설명: 유용한 설명을 입력하세요.

   • 권한(스코프) 테이블에서, Event streams 행의 읽기 체크박스를 선택합니다.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Python 함수를 입력한 다음.

6. 사용자를 사용할 것이며, API 클라이언트가 생성됨 팝업 모달에 클라이언트 ID, 시크릿및 기본 URL 값이 표시됩니다. 이 값을 복사하여 안전한 장소에 보관하십시오. 다음 단계에서 필요합니다. 이 값은 시크릿 이 한 번만 표시됩니다.

7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 를 사용할 수 있습니다..

2단계: Panther에서 새로운 CrowdStrike Event Streams 소스 생성

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. "CrowdStrike Event Streams"를 검색한 후 해당 타일을 클릭합니다.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 구성 페이지에서 소스에 대한 설명적인 이름 을 입력합니다.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정.

7. 자격 증명 페이지에서 양식을 작성합니다:

   • 클라이언트 Id: Panther에서 이전 단계에서 생성한 클라이언트 ID : 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 클라이언트 시크릿: Panther에서 이전 단계에서 생성한 시크릿 : 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 클라이언트 클라우드: App Id에 표시된 리전을 선택하세요. 기본 URL : 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 앱 Id: 연결을 식별할 레이블을 입력하세요.

     • 최대 20자의 영숫자 문자(a-z, A-Z, 0-9)가 허용됩니다.

   • 회원 Cid (선택 사항): CrowdStrike 클라이언트 Id와 시크릿이 여러 CID에 접근 권한이 있는 경우를 위해 고객 ID(CID) 선택기를 선택적으로 입력하세요.

8. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정. 성공 화면으로 이동합니다:

   

   • 성공 화면으로 이동됩니다: 선택적으로 하나 이상의.

   • 사용자를 사용할 것이며, 가 활성화될 수 있습니다 "이벤트가 처리되지 않을 때 알러트를 트리거" 설정의 기본값은. 로그 소스에서 일정 기간 동안 데이터 흐름이 중단되면 알림을 받으므로 이 옵션을 활성화 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Crowdstrike.EventStreams

Crowdstrike.EventStreams 로그는 Falcon 센서가 호스트에서 관찰한 활동을 나타내며 Falcon 콘솔의 아래에는 데이터 익스플로러에서 작성한 검색을 저장하는 방법에 대한 지침이 나와 있습니다. 또한 대시보드 및 검색에 표시됩니다.

스키마: Crowdstrike.EventStreams
설명: Falcon 센서가 호스트에서 관찰한 활동과 Falcon 콘솔의 Investigate 대시보드 및 검색에 표시되는 이벤트와 관련된 항목
referenceURL: https://developer.crowdstrike.com/crowdstrike/docs/streaming-api-events
필드:
  - name: event
    required: true
    설명: 디텍션 또는 감사 이벤트의 데이터
    type: object
    필드:
      - 이름: OperationName
        설명: 작업 이름
        type: string
      - 이름: ServiceName
        설명: 서비스 이름
        type: string
      - 이름: UTCTimestamp
        설명: 작업이 발생한 시간(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
        isEventTime: true
      - 이름: UserId
        type: string
        지표:
          - 이메일
      - 이름: UserIp
        type: string
        지표:
          - ip
      - 이름: Success
        유형: boolean
      - 이름: ComputerName
        설명: 호스트 이름
        type: string
        지표:
          - hostname
      - 이름: DetectDescription
        설명: |
          환경에서 적대자가 시도하려 했던 행위에 대한 설명과 조사 시작 방법에 대한 안내. 참고: 이러한 설명은 상세하며 콘솔 환경에서 유용하지만, 값이 정기적으로 업데이트되고 추가되므로 워크플로우 구동을 위해 이 필드를 사용하지 않는 것을 권장합니다.
        type: string
      - name: Description
        type: string
      - 이름: DetectId
        설명: 디텍션의 Detection ID. Detection Resolution 및 ThreatGraph와 같은 다른 API에서 사용할 수 있습니다.
        type: string
      - name: CompositeId
        type: string
      - 이름: FalconHostLink
        설명: Falcon 콘솔에서 디텍션 이벤트를 볼 수 있는 링크
        type: string
        지표:
          - url
      - name: IOARuleInstanceId
        type: string
      - name: IOARuleInstanceVersion
        type: string
      - name: IOARuleName
        type: string
      - name: IOARuleGroupName
        type: string
      - 이름: FileName
        type: string
      - 이름: FilePath
        type: string
      - 이름: ProcessStartTime
        설명: 프로세스가 시작된 시각(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
      - 이름: ProcessEndTime
        설명: 프로세스가 종료된 시각(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
      - 이름: ProcessId
        설명: 프로세스 ID
        type: string
      - 이름: UserName
        설명: 사용자 이름
        type: string
        지표:
          - username
      - 이름: DetectName
        설명: |
          참고: DetectName 필드는 우리가 MITRE의 ATT&CK에 맞추면서 Objective, Tactic 및 Technique로 대체되었습니다. DetectName는 2019년 1월 16일에 사용 중단될 예정입니다 - 자세한 정보
        type: string
      - name: Name
        type: string
      - 이름: CommandLine
        설명: 이 프로세스를 생성하는 데 사용된 명령줄
        type: string
      - 이름: MD5String
        설명: MD5 해시
        type: string
        지표:
          - md5
      - 이름: SHA1String
        type: string
        지표:
          - sha1
      - 이름: SHA256String
        설명: SHA256 해시
        type: string
        지표:
          - sha256
      - 이름: MachineDomain
        설명: 머신이 현재 조인된 Windows 도메인 이름
        type: string
      - 이름: SensorId
        설명: Falcon 센서 에이전트 ID
        type: string
      - 이름: LocalIP
        type: string
        지표:
          - ip
      - 이름: MACAddress
        type: string
        지표:
          - mac
      - 이름: Objective
        설명: 동작과 연관된 목적(Objective)의 이름
        type: string
      - 이름: PatternDispositionDescription
        설명: 동작에 대해 취해진 조치와 연관된 패턴의 설명
        type: string
      - 이름: PatternDispositionValue
        설명: 동작에 대해 취해진 조치와 연관된 패턴의 숫자 ID
        type: bigint
      - 이름: PatternDispositionFlags
        유형: json
      - name: DocumentsAccessed
        type: array
        element:
          type: object
          필드:
            - name: Timestamp
              설명: 문서에 액세스한 시간(UNIX EPOCH 시간)
              type: timestamp
              timeFormats:
                - unix_auto
            - name: Filename
              설명: |
                액세스된 파일의 이름. 참고: Detect Summary는 0개 이상의 DocumentsAccessed_FileName 항목을 가질 수 있으며 각 DocumentsAccessed_FileName 항목마다 타임스탬프가 있습니다.
              type: string
            - name: Filepath
              설명: |
                문서에 접근한 경우의 파일 경로. 참고: Detect Summary는 0개 이상의 DocumentsAccessed_FilePath 항목을 가질 수 있습니다.
              type: string
      - name: Commands
        type: array
        element:
          type: string
      - 이름: ParentProcessId
        설명: 부모 프로세스 ID
        type: string
      - 이름: ParentCommandLine
        type: string
      - 이름: ParentImageFileName
        type: string
      - 이름: GrandparentCommandLine
        type: string
      - name: GrandparentImageFilename
        type: string
      - name: NetworkAccesses
        type: array
        element:
          type: object
          필드:
            - name: ConnectionDirection
              설명: 연결이 인바운드(1), 아웃바운드(0)인지 또는 둘 다 아닌지(2)를 나타냅니다
              유형: int
            - name: LocalAddress
              설명: 로컬 IP 주소
              type: string
              지표:
                - ip
            - name: LocalPort
              설명: 네트워크 연결의 로컬 포트로, 일반적인 포트 번호입니다. (예: 들어오는 ssh 연결은 22)
              type: bigint
            - name: Protocol
              설명: RFC-1700 IP 프로토콜 식별자
              type: string
            - name: RemoteAddress
              설명: 원격 IP 주소
              type: string
              지표:
                - ip
            - name: RemotePort
              설명: 원격 포트
              type: bigint
      - 이름: Severity
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        type: float
      - 이름: SeverityName
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        type: string
      - 이름: Tactic
        설명: 동작과 연관된 전술(Tactic)의 이름
        type: string
      - 이름: Technique
        설명: 동작과 연관된 기법(Technique)의 이름
        type: string
      - 이름: AuditKeyValues
        type: array
        element:
          유형: json
      - name: IncidentType
        type: string
      - name: IncidentStartTime
        type: timestamp
        timeFormats:
          - unix_auto
      - name: IncidentEndTime
        type: timestamp
        timeFormats:
          - unix_auto
      - name: IncidentId
        type: string
      - name: State
        type: string
      - name: FineScore
        type: float
      - name: LateralMovement
        type: string
      - name: SessionId
        type: string
        지표:
          - trace_id
      - name: HostnameField
        type: string
        지표:
          - hostname
      - name: StartTimestamp
        type: timestamp
        timeFormats:
          - unix_auto
      - name: EndTimestamp
        type: timestamp
        timeFormats:
          - unix_auto
  - 이름: metadata
    required: true
    설명: 이 디텍션 또는 감사 이벤트의 메타데이터
    type: object
    필드:
      - name: customerIDString
        설명: CS가 각 고객에게 할당한 고유 ID
        type: string
      - name: offset
        required: true
        설명: |
          offset=0에서 시작합니다. 각 새로운 이벤트(AuthActivityAuditEvent, DetectionSummaryEvent, UserActivityAuditEvent)는 offset 카운터를 하나씩 증가시킵니다. Falcon Streaming API에 다시 연결할 때 시작 지점을 API에 지정하려면 offset 값을 지정할 수 있습니다. 생략하면 API는 offset=0부터 시작하는 이전의 모든 Detection Summary 또는 Authentication 이벤트를 반환합니다.
        type: bigint
      - name: version
        type: string
      - name: eventType
        type: string
      - name: eventCreationTime
        required: true
        설명: 이 이벤트가 생성된 시간(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
        isEventTime: true