CrowdStrike：配置XOps集成

通过使用API连接器，你可以集成CrowdStrike检测的数据来为终端设备生成故事。 终端故事帮助你更全面地了解网络中的潜在威胁。

在 CMA 中通过关联事件 ID 来关联 CrowdStrike 检测情况创建了一个事件。 这些故事包括CrowdStrike识别的检测相关的所有证据。 故事工作台展示了终端故事与其他故事类型，并且可以对故事进行排序和过滤以专注于终端事件。

在原始警报生成后，CrowdStrike事件几乎实时创建。 

要将CrowdStrike终端检测数据与Cato XOps 集成，你需要设置CrowdStrike的API连接器。 创建连接器后，终端检测引擎会检索和分析来自CrowdStrike的检测数据。

有关查看包括 CrowdStrike 数据在内的 XOps 事件的更多信息，请参见深入分析 XOps 安全性事件。

要创建Cato与CrowdStrike租户之间的连接器，你需要：

步骤1：在Falcon CrowdStrike平台创建API客户端

在Falcon CrowdStrike平台中创建API客户端。

创建API客户端：

1. 在您的Falcon CrowdStrike平台中，导航到支持和资源 > API 客户端和密钥。

   
2. 点击创建API客户端。

3. 添加 客户端名称 和 描述，以及这些范围的读取访问权限：

   • 警报
   • 事件
   • 威胁图
4. 保存 客户端ID、秘密和 基本网址，以便它们可以添加到 CMA 中。

步骤2：在CMA中创建API连接器

创建API客户端后，在CMA中添加详细信息。

在CMA中配置CrowdStrike连接器：

1. 从导航菜单中，选择 资源 > 集成。
2. 在集成应用选项卡上，点击新建。 新集成面板将打开。
3. 从SaaS应用程序下拉菜单中选择CrowdStrike。
4. 输入名称、描述（可选），以及在步骤1获取的基本URL、应用程序ID和客户端密钥值。
5. （可选）选择通过创建事件来跟踪集成中的错误。
6. 点击保存。

了解连接器状态

连接器设置页面的状态列显示CrowdStrike应用与Cato账户的连接状态。 这些是状态的解释：

• 已连接 - 你的账户已连接到应用并正常工作
• 等待用户同意 - 尚未授予权限以允许Cato访问CrowdStrike应用。 解决这个问题，请刷新浏览器。 如果状态更改为已连接，则问题已解决；如果状态没有更改，请删除并重新创建连接器。
• 错误 - 连接器存在连接、权限、许可证或其他问题。 删除并重新创建连接器。