CrowdStrike: XOps統合の設定

APIコネクタを使用して、CrowdStrikeの検出データを統合し、エンドポイントデバイスのストーリーを生成できます。 エンドポイントストーリーは、ネットワーク内の潜在的な脅威のより完全なイメージを把握するのに役立ちます。

CMA においてインシデント ID に基づく CrowdStrike 検出を関連付けてストーリーが作成されます。 これらのストーリーには、CrowdStrikeによって特定された検出に関連するすべての証拠が含まれています。 ストーリー・ワークベンチは、エンドポイントストーリーを他のストーリータイプと一緒に表示し、エンドポイントのインシデントにフォーカスするためにストーリーを並べ替えたりフィルタリングしたりできます。

CrowdStrikeのストーリーは、元のアラートが生成された後、ほぼリアルタイムで作成されます。 

CrowdStrikeのエンドポイント検出データをCato XOpsと統合するには、CrowdStrikeのAPIコネクタを設定する必要があります。 コネクタを作成すると、エンドポイント検出エンジンがCrowdStrikeから検出データを取得し、分析します。

CrowdStrike のデータを含む XOps ストーリーのレビューに関する詳細は、XOps セキュリティストーリーの掘り下げと分析を参照してください。

Catoとお使いのCrowdStrikeテナント間のコネクタを作成するには、次の手順を行います:

ステップ1: Falcon CrowdStrikeプラットフォームでAPIクライアントを作成する

Falcon CrowdStrikeプラットフォームでAPIクライアントを作成します。

APIクライアントを作成するには:

1. お使いのFalcon CrowdStrikeプラットフォームで、Support and resources > API clients and keysをナビゲートします。

   
2. APIクライアントを作成をクリックします。

3. 以下のスコープに対して、クライアント名、説明、および参照のみアクセスを追加します。

   • アラート
   • インシデント
   • Threatgraph
4. クライアントID、秘密、およびベースURLを保存して、CMAに追加できるようにします。

ステップ2: CMAでAPIコネクタを作成する

APIクライアントを作成した後、その詳細をCMAに追加します。

CMAでCrowdStrikeコネクタを設定するには:

1. ナビゲーションメニューからリソース > 統合を選択します。
2. 統合済みアプリタブで新規をクリックします。 新規統合パネルが開きます。
3. SaaSアプリケーションのドロップダウンメニューからCrowdStrikeを選択します。
4. 名前と(オプションで)説明、ベースURL、アプリケーションID、およびステップ1で取得したクライアントシークレット値を入力します。
5. (オプション) 統合内のエラーを追跡するためにイベントを作成することを選択します。
6. 保存をクリックしてください。

コネクタステータスの理解

コネクタ設定ページのステータス列は、CrowdStrikeアプリとCatoアカウントとの接続状況を示します。 これらはステータスの説明です:

• 接続済み - アカウントはアプリに接続され、正常に動作しています
• ユーザー承認待ち - CatoがCrowdStrikeアプリにアクセスすることを許可する権限が与えられていません。 この問題を解決するには、ブラウザを更新してください。 ステータスが接続済みに変わったら、問題は解決されますが、ステータスが変わらない場合はコネクタを削除して再作成してください。
• エラー - コネクタに接続、権限、ライセンス、または他の問題があります。 コネクタを削除して再作成してください。