25 nov Crowdstrike – Como se integrar ao seu SIEM
Introdução
O Conector Falcon SIEM fornece aos usuários um fluxo de dados de consumo SIEM pronto para uso. O Conector Falcon SIEM:
- Transforma os dados da API Crowdstrike em um formato que um SIEM pode consumir
- Mantém a conexão com a API CrowdStrike Event Streaming e seu SIEM
- Gerencia o ponteiro do fluxo de dados para evitar a perda de dados
Pré-requisitos
Antes de usar o Conector Falcon SIEM, você deve primeiro definir o cliente API e definir seu escopo. Consulte este guia para obter acesso à API CrowdStrike para configurar uma nova chave de cliente API. Para o novo cliente API, certifique-se de que o escopo inclui acesso de leitura para fluxos de eventos.
O CrowdStrike Falcon SIEM Connector (SIEM Connector) é executado como um serviço em um servidor Linux local.
Os requisitos de recursos (CPU / Memória / Disco rígido) são mínimos e o sistema pode ser uma VM.
- SO compatível (apenas 64 bits):
- CentOS / RHEL 6.x-7.x
- Ubuntu 14.x
- Ubuntu 16.04
- Ubuntu 18.04
- Conectividade: conectividade com a Internet e capacidade de conectar a CrowdStrike Cloud (HTTPS / TCP 443)
- Autorização: acesso ao escopo do Streaming de eventos da API Crowdstrike
- Hora: A data e hora no host que executa o Conector Falcon SIEM deve ser atual (NTP é recomendado)
Instalação e configuração
Para começar, você precisa baixar os pacotes de instalação rpm para o SIEM Connector da CrowdStrike Falcon UI .
Para obter um guia mais abrangente, visite o Guia de recursos do SIEM Connector .
Baixe o pacote do seu sistema operacional para o servidor Linux que deseja usar.
Abra um terminal e execute o comando de instalação em que <pacote do instalador> é o instalador que você baixou:
- CentOS:
sudo rpm -Uvh <installer package> - Ubuntu:
sudo dpkg -i <installer package>
A última etapa antes de iniciar o SIEM Connector é escolher uma configuração. Existem algumas decisões a serem tomadas. O conector SIEM pode:
- Saída para um arquivo local (seu SIEM ou outras ferramentas teriam que ler ativamente desse arquivo)
- Saída para um servidor syslog (a maioria dos SIEMs modernos tem um receptor syslog integrado)
- Saída para um formato como CEF ou LEEF para seu SIEM
Aqui está um diagrama de fluxo de como escolher o arquivo de configuração correto:
Depois de salvar o arquivo de configuração, você pode iniciar o serviço do conector SIEM com um dos seguintes comandos:
- CentOS:
sudo service cs.falconhoseclientd start - Ubuntu 14.x:
sudo start cs.falconhoseclientd - Ubuntu 16.04 e posterior:
sudo systemctl start cs.falconhoseclientd.service
Para verificar se sua configuração estava correta e se a conectividade foi estabelecida, você pode verificar o arquivo de log com o seguinte comando:
tail -f /var/log/crowdstrike/falconhoseclient/cs.falconhoseclient.log
Você deve ver um Heartbeat. Se você vir uma mensagem de erro mencionando o token de acesso, verifique novamente o seu ID de cliente e segredo da Crowdstrike API.
Conclusão
O processo acima mostra como começar com o Conector CrowdStrike Falcon SIEM. Existem muitas outras opções para este conector (usando um proxy para acessar a API de streaming, formatos de log personalizados e configurações de syslog, etc.) que podem ser encontradas no ” Guia de recursos do conector SIEM ” como parte do pacote de documentação na interface do usuário Falcon .