For the complete documentation index, see llms.txt. This page is also available as Markdown.

CrowdStrike 이벤트 스트림

Panther는 CrowdStrike의 Event Streams API에 연결하는 것을 지원합니다

개요

Panther는 CrowdStrike Event Streams API를 쿼리하여 CrowdStrike 이벤트를 가져올 수 있습니다. Panther는 매분 새 이벤트를 쿼리합니다.

CrowdStrike Event Streams는 SaaS 감사 활동 및 CrowdStrike 디택션 요약 이벤트를 포함하는 비센서 데이터만 내보냅니다. 디바이스 텔레메트리를 수집하려면 CrowdStrike Falcon Data Replicator(FDR) 소스가 필요합니다.

Panther가 새 이벤트를 위해 Event Streams API를 쿼리하는 작업 자체가 추가 Crowdstrike.EventStreams 로그를 생성합니다. 이로 인해 통합에서 원치 않는 노이즈가 발생하는 경우 수집 필터 를 구성하여 이 로그를 필터링할 수 있습니다.

CrowdStrike Event Streams 로그를 Panther에 온보딩하는 방법

사전 요구 사항

1단계: CrowdStrike Falcon API 클라이언트 생성

  1. 관리자 수준 권한이 있는 계정을 사용하여 Falcon 콘솔에 로그인합니다.

  2. 탐색 모음에서 다음을 클릭합니다. 지원 및 리소스 > API 클라이언트 및 키. In an Endpoint security Activity dashboard, arrows are drawn to the three-lines navigation bar icon, a "Support and resources" option, and an "API clients and keys" option.

  3. 다음 내에서 OAuth2 API 클라이언트 탭에서 다음을 클릭합니다. API 클라이언트 생성. In a Support and resources dashboard, under an OAuth2 API clients tab, a table with Client name, Created, Last modified, and Client ID is shown.

  4. 다음 API 클라이언트 생성 양식을 작성합니다:

    • 클라이언트 이름: 설명적인 이름을 입력하세요.

    • 설명: 유용한 설명을 입력합니다.

    • 범위 표의 이벤트 스트림 행에서 다음을 선택합니다. 읽기 확인란. A "Create API client" header is above various form fields, like Client name, Description, and a Scope table. An arrow is drawn to the "Read" checkbox in the Event stream row.

  5. 클릭합니다 생성.

  6. 다음 API 클라이언트 생성됨 팝업 모달에 다음이 표시됩니다. Client ID, 보안 비밀, 및 기본 URL 값입니다. 다음 단계에서 필요하므로 이 값을 복사하여 안전한 위치에 저장합니다. 이것은 보안 비밀 이 표시되는 유일한 시간입니다. Under an "API client created' header are Client ID, Secret, and Base URL values.

  7. 클릭합니다 성공적으로 추론됨.

2단계: Panther에서 새 CrowdStrike Event Streams 소스 생성

  1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

  2. 클릭합니다 새로 만들기.

  3. "CrowdStrike Event Streams"를 검색한 다음 해당 타일을 클릭합니다.

  4. 슬라이드아웃 패널에서 다음을 클릭합니다 설정 시작. A "CrowdStrike Event Streams" page is shown. An arrow is drawn to a "Start Setup" button in the upper-right corner.

  5. 구성 페이지에서 설명적인 이름 을(를) 소스에 입력합니다.

  6. 클릭합니다 설정.

  7. 자격 증명 페이지에서 양식을 작성합니다:

    • 클라이언트 ID: 다음을 입력하세요. Client ID 이전 단계에서 CrowdStrike에서 생성한 값입니다.

    • Client Secret: 다음을 입력하세요. 보안 비밀 이전 단계에서 CrowdStrike에서 생성한 값입니다.

    • 클라이언트 클라우드: 다음에 표시된 리전을 선택합니다. 기본 URL 이전 단계에서 CrowdStrike에서 생성한 값입니다.

    • 앱 ID: 연결을 식별할 레이블을 입력합니다.

      • 영숫자(a-z, A-Z, 0-9)는 최대 20자까지 허용됩니다.

    • 멤버 Cid(선택 사항): CrowdStrike 클라이언트 ID 및 보안 비밀이 여러 CID에 액세스할 수 있는 경우 선택적으로 고객 ID(CID) 선택기를 입력합니다.The text at the top reads, "Fill in the form below with your credentials." Below are various form fields, like Client Id and Client Secret.

  8. 클릭합니다 설정. 성공 화면으로 이동합니다:

    The success screen reads, "Everything looks good! Panther will now automatically pull & process logs from your account"
    • 선택적으로 하나 이상의 디택션 팩.

    • 다음 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 . 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

      The "Trigger an alert when no events are processed" toggle is set to YES. The "How long should Panther wait before it sends you an alert that no events have been processed" setting is set to 1 Day

지원되는 로그 유형

Crowdstrike.EventStreams

Crowdstrike.EventStreams 로그는 Falcon 센서가 호스트에서 관찰하고 Falcon 콘솔의 조사 대시보드 및 검색에 표시되는 활동을 나타냅니다.

마지막 업데이트

도움이 되었나요?