CrowdStrike 이벤트 스트림

Panther는 CrowdStrike의 Event Streams API에 연결하는 것을 지원합니다

개요

Panther는 CrowdStrike 이벤트를 CrowdStrike Event Streams API를 쿼리하여 가져올 수 있습니다. Panther는 새 이벤트를 1분마다 쿼리합니다.

CrowdStrike Event Streams는 SaaS 감사 활동 및 CrowdStrike 탐지 요약 이벤트를 포함하는 비-센서 데이터만 내보냅니다. 장치 텔레메트리를 수집하려면 CrowdStrike Falcon Data Replicator (FDR) 소스가 필요합니다.

Panther가 새 이벤트를 위해 Event Streams API를 쿼리하는 동작 자체가 추가 Crowdstrike.EventStreams 로그를 생성합니다. 통합에서 원치 않는 노이즈가 발생하는 경우 수집 필터 를 구성하여 이러한 로그를 필터링할 수 있습니다.

CrowdStrike Event Streams 로그를 Panther에 온보딩하는 방법

전제 조건

• 이 방법을 사용하려면 먼저 CrowdStrike 지원팀에 문의 하여 CrowdStrike 계정에서 스트리밍 API를 활성화해야 합니다.

1단계: CrowdStrike Falcon API 클라이언트 생성

1. 관리자 수준 권한이 있는 계정으로 Falcon 콘솔에 로그인합니다.

2. 탐색 표시줄에서 지원 및 리소스 > API 클라이언트 및 키.

3. 내에서 OAuth2 API 클라이언트 탭에서 API 클라이언트 생성.

4. 다음 API 클라이언트 생성 양식을 작성하세요:

   • 클라이언트 이름: 설명적인 이름을 입력하세요.

   • 설명: 유용한 설명을 입력하세요.

   • 범위 테이블에서, 이벤트 스트림 행에서 읽기 체크박스.

5. 클릭 Create.

6. 설정은 API 클라이언트가 생성되면 팝업 모달에 다음이 표시됩니다 섹션에서, 다음을 복사하세요,, 비밀(Secret)및 기본 URL 값을 복사하여 안전한 위치에 저장하세요. 다음 단계에서 필요합니다. 이것은 비밀(Secret) 가 표시되는 유일한 시간입니다.

7. 클릭 완료.

2단계: Panther에서 새 CrowdStrike Event Streams 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "CrowdStrike Event Streams"를 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 구성 페이지에서 소스에 대한 설명적인 이름 를 입력하세요.

6. 클릭 설정.

7. 자격 증명 페이지에서 양식을 작성하세요:

   • 클라이언트 ID: Panther에서 이전 단계에서 생성한 섹션에서, 다음을 복사하세요, 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 클라이언트 ID: Panther에서 이전 단계에서 생성한 비밀(Secret) 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 클라이언트 클라우드: 표시된 리전을 선택하세요 기본 URL 이전 단계에서 CrowdStrike에서 생성한 값입니다.

   • 앱 ID: 연결을 식별할 라벨을 입력하세요.

     • 최대 20자의 영숫자 문자(a-z, A-Z, 0-9)를 사용할 수 있습니다.

   • 멤버 CID (선택 사항): 선택적으로 CrowdStrike 클라이언트 ID와 시크릿이 여러 CID에 액세스할 수 있는 경우 고객 ID(CID) 선택자를 입력하세요.

8. 클릭 설정. 성공 화면으로 이동됩니다:

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Crowdstrike.EventStreams

Crowdstrike.EventStreams 로그는 Falcon 센서가 호스트에서 관찰한 활동을 나타내며 Falcon 콘솔의 저장된 검색 목록에서 다운로드하거나 삭제하려는 검색을 찾습니다. 각 검색 이름 왼쪽의 상자를 체크하세요. 대시보드 및 검색에 표시됩니다.

스키마: Crowdstrike.EventStreams
설명: Falcon 센서가 호스트에서 관찰한 활동과 Falcon 콘솔의 Investigate 대시보드 및 검색에 표시되는 이벤트와 관련된 항목
referenceURL: https://developer.crowdstrike.com/crowdstrike/docs/streaming-api-events
필드:
  - name: event
    required: true
    설명: 탐지 또는 감사 이벤트의 데이터
    type: object
    필드:
      - 이름: OperationName
        설명: 작업 이름
        type: string
      - 이름: ServiceName
        설명: 서비스 이름
        type: string
      - 이름: UTCTimestamp
        설명: 작업이 발생한 시간(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
        isEventTime: true
      - 이름: UserId
        type: string
        지표:
          - 이메일
      - 이름: UserIp
        type: string
        지표:
          - ip
      - 이름: Success
        유형: boolean
      - 이름: ComputerName
        설명: 호스트 이름
        type: string
        지표:
          - 호스트명
      - 이름: DetectDescription
        설명: |
          적대자가 환경에서 시도하려 했던 작업에 대한 설명 및 조사 시작에 대한 지침입니다. 참고: 이 설명은 콘솔 경험에 유용하도록 상세하게 제공되지만 값이 정기적으로 업데이트되고 추가되므로 이 필드를 워크플로우 구동에 사용하지 않을 것을 권장합니다.
        type: string
      - name: Description
        type: string
      - 이름: DetectId
        설명: 탐지의 Detection ID. Detection Resolution 및 ThreatGraph와 같은 다른 API에서 사용할 수 있습니다.
        type: string
      - name: CompositeId
        type: string
      - 이름: FalconHostLink
        설명: Falcon 콘솔에서 탐지 이벤트를 보는 링크
        type: string
        지표:
          - URL
      - name: IOARuleInstanceId
        type: string
      - name: IOARuleInstanceVersion
        type: string
      - name: IOARuleName
        type: string
      - name: IOARuleGroupName
        type: string
      - 이름: FileName
        type: string
      - 이름: FilePath
        type: string
      - 이름: ProcessStartTime
        설명: 프로세스가 시작된 시점의 타임스탬프(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
      - 이름: ProcessEndTime
        설명: 프로세스가 종료된 시점의 타임스탬프(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
      - 이름: ProcessId
        설명: 프로세스 ID
        type: string
      - 이름: UserName
        설명: 사용자 이름
        type: string
        지표:
          - username
      - 이름: DetectName
        설명: |
          참고: DetectName 필드는 MITRE의 ATT&CK와 정렬하기 위해 Objective, Tactic 및 Technique로 대체되었습니다. DetectName은 2019년 1월 16일에 사용 중단될 예정입니다 - 자세한 정보
        type: string
      - name: Name
        type: string
      - 이름: CommandLine
        설명: 이 프로세스를 생성할 때 사용된 명령줄
        type: string
      - 이름: MD5String
        설명: MD5 해시
        type: string
        지표:
          - md5
      - 이름: SHA1String
        type: string
        지표:
          - sha1
      - 이름: SHA256String
        설명: SHA256 해시
        type: string
        지표:
          - sha256
      - 이름: MachineDomain
        설명: 현재 머신이 가입된 Windows 도메인 이름
        type: string
      - 이름: SensorId
        설명: Falcon 센서 에이전트 ID
        type: string
      - 이름: LocalIP
        type: string
        지표:
          - ip
      - 이름: MACAddress
        type: string
        지표:
          - mac
      - 이름: Objective
        설명: 동작과 관련된 목표의 이름
        type: string
      - 이름: PatternDispositionDescription
        설명: 동작에 대해 취해진 작업과 관련된 패턴의 설명
        type: string
      - 이름: PatternDispositionValue
        설명: 동작에 대해 취해진 작업과 관련된 패턴의 숫자 ID
        type: bigint
      - 이름: PatternDispositionFlags
        유형: json
      - name: DocumentsAccessed
        type: array
        element:
          type: object
          필드:
            - name: Timestamp
              설명: 문서에 접근한 시간(UNIX EPOCH 시간)
              type: timestamp
              timeFormats:
                - unix_auto
            - name: Filename
              설명: |
                접근한 파일의 이름. 참고: 탐지 요약(Detect Summary)은 0개 이상의 DocumentsAccessed_FileName 항목을 가질 수 있으며 각 DocumentsAccessed_FileName 항목에는 타임스탬프가 있습니다.
              type: string
            - name: Filepath
              설명: |
                문서가 접근된 경우 파일 경로. 참고: 탐지 요약은 0개 이상의 DocumentsAccessed_FilePath 항목을 가질 수 있습니다.
              type: string
      - name: Commands
        type: array
        element:
          type: string
      - 이름: ParentProcessId
        설명: 부모 프로세스 ID
        type: string
      - 이름: ParentCommandLine
        type: string
      - 이름: ParentImageFileName
        type: string
      - 이름: GrandparentCommandLine
        type: string
      - name: GrandparentImageFilename
        type: string
      - name: NetworkAccesses
        type: array
        element:
          type: object
          필드:
            - name: ConnectionDirection
              설명: 연결이 들어오는지(1), 나가는지(0), 또는 해당 없음(2)인지 여부
              유형: int
            - name: LocalAddress
              설명: 로컬 IP 주소
              type: string
              지표:
                - ip
            - name: LocalPort
              설명: 네트워크 연결의 로컬 포트, 일반적인 포트 번호로 표시됩니다. (예: 들어오는 ssh 연결은 22)
              type: bigint
            - name: Protocol
              설명: RFC-1700 IP 프로토콜 식별자
              type: string
            - name: RemoteAddress
              설명: 원격 IP 주소
              type: string
              지표:
                - ip
            - name: RemotePort
              설명: 원격 포트
              type: bigint
      - 이름: Severity
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        type: float
      - 이름: SeverityName
        설명: 0 (해당 없음), 1 (정보), 2 (낮음), 3 (중간), 4 (높음), 5 (치명적)
        type: string
      - 이름: Tactic
        설명: 동작과 관련된 전술의 이름
        type: string
      - 이름: Technique
        설명: 동작과 관련된 기법의 이름
        type: string
      - 이름: AuditKeyValues
        type: array
        element:
          유형: json
      - name: IncidentType
        type: string
      - name: IncidentStartTime
        type: timestamp
        timeFormats:
          - unix_auto
      - name: IncidentEndTime
        type: timestamp
        timeFormats:
          - unix_auto
      - name: IncidentId
        type: string
      - name: State
        type: string
      - name: FineScore
        type: float
      - name: LateralMovement
        type: string
      - name: SessionId
        type: string
        지표:
          - trace_id
      - name: HostnameField
        type: string
        지표:
          - 호스트명
      - name: StartTimestamp
        type: timestamp
        timeFormats:
          - unix_auto
      - name: EndTimestamp
        type: timestamp
        timeFormats:
          - unix_auto
  - 이름: metadata
    required: true
    설명: 이 탐지 또는 감사 이벤트의 메타데이터
    type: object
    필드:
      - name: customerIDString
        설명: CS가 각 고객에 할당한 고유 ID
        type: string
      - name: offset
        required: true
        설명: |
          오프셋(offset)=0에서 시작합니다. 각 새 이벤트(AuthActivityAuditEvent, DetectionSummaryEvent, UserActivityAuditEvent)는 오프셋 카운터를 하나씩 증가시킵니다. Falcon Streaming API에 다시 연결할 때 시작 지점을 지정하려면 오프셋 값을 지정할 수 있습니다. 생략하면 API는 offset=0부터 시작하는 이전의 모든 Detection Summary 또는 Authentication 이벤트를 반환합니다.
        type: bigint
      - name: version
        type: string
      - name: eventType
        type: string
      - name: eventCreationTime
        required: true
        설명: 이 이벤트가 생성된 시간(UNIX EPOCH 시간)
        type: timestamp
        timeFormats:
          - unix_auto
        isEventTime: true