将 CrowdStrike Falcon 与 Google SecOps 集成
本文档介绍了如何将 CrowdStrike Falcon 与 Google Security Operations 集成。
此集成使用一个或多个开源组件。 您可以从 Cloud Storage 存储桶下载此集成的完整源代码副本。
使用场景
在 Google SecOps 平台中，CrowdStrike Falcon 集成可解决以下应用场景：
自动恶意软件遏制：利用 Google SecOps 平台的功能自动隔离受影响的端点，检索文件哈希以进行进一步分析，并防止恶意软件传播。当钓鱼邮件触发 CrowdStrike Falcon 针对可疑文件下载的提醒时，自动恶意软件遏制功能就会启动。
加速突发事件响应：使用 Google SecOps 收集进程树和网络连接等情境数据，隔离受感染的主机，并创建工单进行调查。
威胁搜寻和调查：使用 Google SecOps 平台的功能查询 CrowdStrike Falcon，了解特定用户操作、文件修改和网络连接在指定时间段内的情况。借助威胁搜寻和调查功能，您的安全分析师可以调查潜在的内部威胁并分析历史端点活动，同时简化调查流程。
钓鱼式攻击响应和修复：使用 CrowdStrike Falcon 和 Google SecOps 平台扫描电子邮件附件，在沙盒环境中打开附件，并在检测到恶意活动时自动屏蔽发件人电子邮件地址。
漏洞管理：利用 Google SecOps 平台的功能，为每个存在漏洞的系统自动创建工单，根据严重程度和资产价值确定优先级，并触发自动修补工作流。漏洞管理功能可帮助您识别多个端点上的关键漏洞。
准备工作
在 Google SecOps 中配置集成之前，请完成以下步骤：
配置 CrowdStrike Falcon API 客户端。
配置操作权限。
配置连接器权限。
配置 CrowdStrike Falcon API 客户端
如需定义 CrowdStrike API 客户端以及查看、创建或修改 API 客户端或密钥，您需要具有 FalconAdministrator 角色。
只有在您创建新的 API 客户端或重置 API 客户端时，系统才会显示密钥。
如需配置 CrowdStrike Falcon API 客户端，请完成以下步骤：
- 在 Falcon 界面中，依次前往支持和资源 > 资源和工具 > API 客户端和密钥。在此页面上，您可以查找现有客户端、添加新的 API 客户端或查看审核日志。
- 点击创建 API 客户端。
- 为新的 API 客户端提供名称。
- 选择适当的 API 范围。
点击创建。系统会显示客户端 ID 和客户端密钥值。
这是您唯一一次看到客户端密钥值。请务必妥善保管。如果您丢失了客户端密钥，请重置 API 客户端，并使用新凭据更新依赖于该客户端密钥的所有应用。
如需详细了解如何访问 CrowdStrike API，请参阅 CrowdStrike 博客上的获取对 CrowdStrike API 的访问权限指南。
配置操作权限
请参阅下表，了解执行操作所需的最低权限：
| 操作 | 所需权限 |
|---|---|
| 添加提醒评论 | Alerts.ReadAlerts.Write |
| 为检测结果添加评论 | Detections.ReadDetection.Write |
| 添加身份保护检测评论 | Alerts.ReadAlerts.Write |
| 添加突发事件评论 | Incidents.Write |
| 关闭检测 | Detections.ReadDetection.Write |
| 包含端点 | Hosts.ReadHosts.Write |
| 删除 IOC | IOC Management.ReadIOC Management.Write |
| 下载文件 | Hosts.ReadReal time response.ReadReal time response.Write |
| 执行命令 | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write*（对于完整权限命令）。
|
| 获取提醒详情 | Alerts.Read |
| 获取事件偏移量 | Event streams.Read |
| 按 IOC 获取主机 | 不可用：已弃用 |
| 获取主机信息 | Hosts.Read |
| 按 IOC 获取进程名称 | 不可用：已弃用 |
| 隐藏主机 | Hosts.ReadHosts.Write |
| Lift Contained 端点 | Hosts.ReadHosts.Write |
| 列出主机 | Hosts.Read |
| 列出主机漏洞 | Hosts.ReadSpotlight vulnerabilities.Read |
| 列出已上传的 IOC | IOC Management.Read |
| 按需扫描 | On-demand scans (ODS).ReadOn-demand scans (ODS).Write |
| Ping | Hosts.Read |
| 运行脚本 | Hosts.ReadReal time response.ReadReal time response.WriteReal time response (admin).Write |
| 搜索事件 | NGSIEM.ReadNGSIEM.Write |
| 提交文件 | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| 提交网址 | Reports (Falcon Intelligence).ReadSandbox (Falcon Intelligence).ReadSandbox (Falcon Intelligence).Write |
| 更新提醒 | Alerts.ReadAlerts.Write |
| 更新检测 | Detections.ReadDetection.WriteUser management.Read |
| 更新身份保护检测 | Alerts.ReadAlerts.Write |
| 更新突发事件 | Incidents.Write |
| 更新 IOC 信息 | IOC Management.ReadIOC Management.Write |
| 上传 IOC | IOC Management.ReadIOC Management.Write |
配置连接器权限
请参阅下表中列出的连接器的最低权限：
| 连接器 | 所需权限 |
|---|---|
| CrowdStrike 提醒连接器 | Alerts.Read |
| CrowdStrike Detections 连接器 | Detection.Read |
| CrowdStrike Falcon Streaming Events 连接器 | Event streams.Read |
| CrowdStrike Identity Protection Detections 连接器 | Alerts.Read |
| CrowdStrike Incidents 连接器 | Incidents.Read |
端点
CrowdStrike Falcon 集成会与以下 CrowdStrike Falcon API 端点进行交互：
通用 API 端点：
/oauth2/token
主机和设备：
/devices/entities/devices/v1/devices/entities/devices-actions/v2
检测和事件：
/detections/entities/detections/v2/detections/entities/summaries/GET/v1/protection/entities/detections/v1/humio/api/v1/repositories/{repository}/queryjobs/humio/api/v1/repositories/{repository}/queryjobs/{job_id}
失陷指标 (IOC)：
/intel/entities/indicators/v1/intel/queries/devices/v1
漏洞：
/devices/combined/devices/vulnerabilities/v1
响应和控制：
/respond/entities/command-queues/v1/respond/entities/extracted-files/v1
突发事件：
/incidents/entities/incidents/GET/v1/incidents/entities/incidents/comments/GET/v1/incidents/entities/incidents/GET/v1
文件和网址分析：
/malware-uploads/entities/submissions/v2/url/entities/scans/v1
集成参数
为使集成正常运行，需要使用具有完整功能的 CrowdStrike Falcon 高级版。某些操作不适用于基本版 CrowdStrike Falcon。
CrowdStrike Falcon 集成需要以下参数：
| 参数 | |
|---|---|
API Root |
CrowdStrike 实例的 API 根。 默认值为 |
Client API ID |
必需 CrowdStrike API 的客户端 ID。 |
Client API Secret |
必需 CrowdStrike API 的客户端密钥。 |
Verify SSL |
如果选中此选项，集成会验证用于连接到 CrowdStrike Falcon 服务器的 SSL 证书是否有效。 默认情况下不选择。 |
Customer ID |
可选 要在其中执行集成的租户的客户 ID。适用于多租户 (MSSP) 环境。 |
如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。
如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。
操作
如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。
在继续进行集成配置之前，请先配置每个集成项所需的最低权限。如需了解详情，请参阅操作权限。
添加提醒评论
使用添加提醒评论操作向 CrowdStrike Falcon 中的提醒添加评论。
此操作不会在 Google SecOps 实体上运行。
操作输入
添加提醒评论操作需要以下参数：
| 参数 | |
|---|---|
Alert |
必需 要更新的提醒的 ID。 |
Comment |
必需 要添加到提醒中的评论。 |
操作输出
添加提醒评论操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
添加提醒评论操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully added comment to the alert with ID
ALERT_ID in CrowdStrike |
操作成功。 |
|
操作失败。 请检查与服务器的连接、输入参数或凭据。 |
脚本结果
下表介绍了使用添加提醒评论操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
为检测结果添加评论 - 已弃用
使用向检测添加评论操作，向 CrowdStrike Falcon 中的检测添加评论。
此操作会在所有实体上运行。
操作输入
向检测结果添加注释操作需要以下参数：
| 参数 | 说明 |
|---|---|
Detection ID |
必填。 要添加评论的检测结果的 ID。 |
Comment |
必填。 要添加到检测结果中的评论。 |
操作输出
向检测结果添加评论操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 脚本结果 | 可用 |
脚本结果
下表介绍了使用向检测结果添加注释操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
true 或 false |
添加身份保护检测评论
使用添加身份保护检测评论操作向 CrowdStrike 中的身份保护检测添加评论。
此操作需要 Identity Protection 许可。
此操作不会在 Google SecOps 实体上运行。
操作输入
添加身份保护检测注释操作需要以下参数：
| 参数 | |
|---|---|
Detection ID |
必需
要更新的检测结果的 ID。 |
Comment |
必需
要添加到检测结果中的评论。 |
操作输出
Add Identity Protection Detection Comment（添加身份保护检测评论）操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
添加身份保护检测注释操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully added comment to the
identity protection detection with ID
DETECTION_ID in CrowdStrike |
操作成功。 |
Error executing action "Add Identity
Protection Detection Comment". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Add Identity
Protection Detection Comment". Reason: identity protection detection with
ID DETECTION_ID wasn't found in
CrowdStrike. Please check the
spelling. |
操作失败。 请检查拼写。 |
脚本结果
下表介绍了使用添加身份保护检测注释操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
添加突发事件评论 - 已弃用
使用添加突发事件评论操作向 CrowdStrike 中的突发事件添加评论。
此操作不会在 Google SecOps 实体上运行。
操作输入
添加突发事件评论操作需要以下参数：
| 参数 | 说明 |
|---|---|
Incident ID |
必填。 要更新的突发事件的 ID。 |
Comment |
必填。 要添加到突发事件的评论。 |
操作输出
添加突发事件评论操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
添加突发事件评论操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully added comment to the
incident INCIDENT_ID in CrowdStrike
|
操作成功。 |
Error executing action "Add Incident Comment". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Add Incident Comment". Reason: incident
with ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
操作失败。 请检查拼写。 |
脚本结果
下表介绍了使用添加突发事件评论操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
关闭检测 - 已弃用
使用关闭检测操作可关闭 CrowdStrike Falcon 检测。
此操作会在所有实体上运行。
操作输入
关闭检测操作需要以下参数：
| 参数 | 说明 |
|---|---|
Detection ID |
必填。 要关闭的检测结果的 ID。 |
Hide Detection |
可选。 如果选择此操作，系统会在界面中隐藏检测结果。 默认处于选中状态。 |
操作输出
Close Detection 操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 脚本结果 | 可用 |
脚本结果
下表介绍了使用关闭检测操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
包含端点
使用包含端点操作在 CrowdStrike Falcon 中包含端点。
此操作将在以下实体上运行：
- IP 地址
- 主机名
操作输入
Contain Endpoint（隔离端点）操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Fail If Timeout |
可选
如果选择此选项，但并非所有端点都包含在内，则操作会失败。 默认处于选中状态。 |
操作输出
Contain Endpoint 操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 实体丰富化表 | 可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
实体丰富化
Contain Endpoint（包含端点）操作支持以下实体丰富逻辑：
| 扩充项字段 | 逻辑 |
|---|---|
status |
如果 JSON 结果中存在，则返回 |
modified_timestamp |
如果 JSON 结果中存在，则返回 |
major_version |
如果 JSON 结果中存在，则返回 |
policies |
如果 JSON 结果中存在，则返回 |
config_id_platform |
如果 JSON 结果中存在，则返回 |
bios_manufacturer |
如果 JSON 结果中存在，则返回 |
system_manufacturer |
如果 JSON 结果中存在，则返回 |
device_policies |
如果 JSON 结果中存在，则返回 |
meta |
如果 JSON 结果中存在，则返回 |
pointer_size |
如果 JSON 结果中存在，则返回 |
last_seen |
如果 JSON 结果中存在，则返回 |
agent_local_time |
如果 JSON 结果中存在，则返回 |
first_seen |
如果 JSON 结果中存在，则返回 |
service_pack_major |
如果 JSON 结果中存在，则返回 |
slow_changing_modified_timestamp |
如果 JSON 结果中存在，则返回 |
service_pack_minor |
如果 JSON 结果中存在，则返回 |
system_product_name |
如果 JSON 结果中存在，则返回 |
product_type_desc |
如果 JSON 结果中存在，则返回 |
build_number |
如果 JSON 结果中存在，则返回 |
cid |
如果 JSON 结果中存在，则返回 |
local_ip |
如果 JSON 结果中存在，则返回 |
external_ip |
如果 JSON 结果中存在，则返回 |
hostname |
如果 JSON 结果中存在，则返回 |
config_id_build |
如果 JSON 结果中存在，则返回 |
minor_version |
如果 JSON 结果中存在，则返回 |
platform_id |
如果 JSON 结果中存在，则返回 |
os_version |
如果 JSON 结果中存在，则返回 |
config_id_base |
如果 JSON 结果中存在，则返回 |
provision_status |
如果 JSON 结果中存在，则返回 |
mac_address |
如果 JSON 结果中存在，则返回 |
bios_version |
如果 JSON 结果中存在，则返回 |
platform_name |
如果 JSON 结果中存在，则返回 |
agent_load_flags |
如果 JSON 结果中存在，则返回 |
device_id |
如果 JSON 结果中存在，则返回 |
product_type |
如果 JSON 结果中存在，则返回 |
agent_version |
如果 JSON 结果中存在，则返回 |
JSON 结果
以下示例介绍了使用隔离端点操作时收到的 JSON 结果输出：
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6",
"policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "3",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": ""
},
"prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{
"Version":"12765"
},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name": "Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "123456789abcdef123456789abcdef12",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "",
"config_id_build": "example-id",
"minor_version": "3",
"platform_id": "x",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-config",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"Agent_load_flags":"1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
输出消息
Contain Endpoint 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Contain
Endpoint". Reason: ERROR_REASON
|
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Contain
Endpoint". Reason: the following endpoints initiated containment, but were
not able to finish it during action execution:
ENTITY_ID
|
操作失败。 检查端点状态和 |
脚本结果
下表介绍了使用包含端点操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
删除 IOC
使用删除 IOC 操作可删除 CrowdStrike Falcon 中的自定义 IOC。
此操作会将主机名实体视为网域 IOC，并从网址中提取网域部分。此操作仅支持 MD5 和 SHA-256 哈希。
删除 IOC 操作在以下实体上运行：
- IP 地址
- 主机名
- 网址
- 哈希
操作输入
无。
操作输出
删除 IOC 操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
脚本结果
下表介绍了使用删除 IOC 操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
输出消息
在案例墙上，删除 IOC 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Delete IOC".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
下载文件
使用下载文件操作从 CrowdStrike Falcon 中的主机下载文件。
此操作要求文件名和 IP 地址或主机名实体都位于 Google SecOps 提醒的范围内。
您可以在受密码保护的 zip 压缩包中找到下载的文件。如需访问该文件，请提供以下密码：infected。
下载文件操作在以下实体上运行：
- 文件名
- IP 地址
- 主机
操作输入
下载文件操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Download Folder Path |
必需
存储下载文件的文件夹的路径。 格式取决于您的部署：
|
Overwrite |
必需
如果选中，该操作会覆盖同名文件。 默认情况下不选择。 |
操作输出
下载文件操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 实体表 | 可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
实体表
下载文件操作提供以下实体表：
| 实体 | |
|---|---|
filepath |
文件的绝对路径。 |
JSON 结果
以下示例说明了使用下载文件操作时收到的 JSON 结果输出：
{
"absolute_paths": ["/opt/file_1", "opt_file_2"]
}
输出消息
下载文件操作提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Download
File". Reason: ERROR_REASON
|
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Download
File". Reason: file with path PATH
already exists. Please delete the file or set "Overwrite" to true.
|
操作失败。 请检查 |
Waiting for results for the following
entities: ENTITY_ID |
异步消息。 |
脚本结果
下表介绍了使用下载文件操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
执行命令
使用执行命令操作在 CrowdStrike Falcon 中的主机上执行命令。
此操作将在以下实体上运行：
- IP 地址
- 主机名
操作输入
执行命令操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Command |
必需
指定要在主机上执行的命令。 |
Admin Command |
可选
如果选中，该操作将使用管理员权限执行命令。对于特定命令（例如 默认情况下不选择。 |
Hostname |
可选
要执行操作的主机名的逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Queue Offline |
可选
如果选中此选项，针对离线主机的命令会排队，并在主机重新连接到网络后执行。 默认情况下不选择。 |
操作输出
执行命令操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
在案例墙上，执行命令操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully executed command
"COMMAND" on the following
endpoints in CrowdStrike Falcon:
ENTITY_ID |
操作成功。 |
Error executing action "Execute Command". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Waiting for results for the following
entities: ENTITY_ID |
异步消息。 |
脚本结果
下表介绍了使用执行命令操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
获取提醒详情
使用获取提醒详情操作可检索 CrowdStrike Falcon 中提醒的详细信息。
此操作不会在 Google SecOps 实体上运行。
操作输入
获取提醒详情操作需要以下参数：
| 参数 | 说明 |
|---|---|
Alert ID |
必填。 要检索其详细信息的提醒的唯一 ID。 |
操作输出
获取提醒详情操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例展示了使用获取提醒详情操作时收到的 JSON 结果输出：
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"assigned_to_uid": "analyst@example.com",
"cid": "CID_VALUE",
"composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"EDGE_ID_1_OBFUSCATED_STRING",
"EDGE_ID_2_OBFUSCATED_STRING",
"EDGE_ID_3_OBFUSCATED_STRING"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:CID_VALUE:AGGREGATE_ID_VALUE",
"idpind:CID_VALUE:IDP_DETECTION_ID",
"ind:CID_VALUE:DETECTION_ID",
"uid:CID_VALUE:SOURCE_SID_VALUE"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
"id": "ind:CID_VALUE:DETECTION_ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.LOCAL",
"source_account_name": "TEST_MAILBOX",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
输出消息
获取提醒详情操作可以返回以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Get Alert Details". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表列出了使用获取提醒详情操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
true 或 false |
获取事件偏移量
使用获取事件偏移量操作检索流式传输事件连接器使用的事件偏移量。
此操作会开始处理 30 天前的事件。
此操作不会在 Google SecOps 实体上运行。
操作输入
获取事件偏移量操作需要以下参数：
| 参数 | |
|---|---|
Max Events To Process |
必需
该操作需要处理的事件数量（从 30 天前开始）。 默认值为 |
操作输出
获取事件偏移量操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用获取事件偏移量操作时收到的 JSON 结果输出：
{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
输出消息
获取事件偏移量操作提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully retrieved event offset in CrowdStrike Falcon.
|
操作成功。 |
Error executing action "Get Event
Offset". Reason: ERROR_REASON
|
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表介绍了使用获取事件偏移量操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
获取主机信息
使用获取主机信息操作从 CrowdStrike Falcon 检索有关主机名的信息。
此操作将在以下实体上运行：
- 主机名
- IP 地址
操作输入
获取主机信息操作需要以下参数：
| 参数 | |
|---|---|
Hostname |
可选
要在 CrowdStrike Falcon 中隐藏的主机名列表（以英文逗号分隔）。该操作会处理此参数中提供的输入值以及附加到案例的主机名和 IP 地址实体。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Customer ID |
可选
用于定位特定租户的唯一 CrowdStrike 客户 ID (CID)。在 Falcon Flight Control 或多租户环境中，必须提供此参数才能对特定子 CID 执行操作。 |
操作输出
获取主机信息操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 实体丰富化表 | 可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
实体丰富化
获取主机信息操作支持以下实体丰富逻辑：
| 扩充项字段 | 逻辑 |
|---|---|
modified_timestamp |
如果 JSON 结果中存在，则返回 |
major_version |
如果 JSON 结果中存在，则返回 |
site_name |
如果 JSON 结果中存在，则返回 |
platform_id |
如果 JSON 结果中存在，则返回 |
config_id_platform |
如果 JSON 结果中存在，则返回 |
system_manufacturer |
如果 JSON 结果中存在，则返回 |
meta |
如果 JSON 结果中存在，则返回 |
first_seen |
如果 JSON 结果中存在，则返回 |
service_pack_minor |
如果 JSON 结果中存在，则返回 |
product_type_desc |
如果 JSON 结果中存在，则返回 |
build_number |
如果 JSON 结果中存在，则返回 |
hostname |
如果 JSON 结果中存在，则返回 |
config_id_build |
如果 JSON 结果中存在，则返回 |
minor_version |
如果 JSON 结果中存在，则返回 |
os_version |
如果 JSON 结果中存在，则返回 |
provision_status |
如果 JSON 结果中存在，则返回 |
mac_address |
如果 JSON 结果中存在，则返回 |
bios_version |
如果 JSON 结果中存在，则返回 |
agent_load_flags |
如果 JSON 结果中存在，则返回 |
status |
如果 JSON 结果中存在，则返回 |
bios_manufacturer |
如果 JSON 结果中存在，则返回 |
machine_domain |
如果 JSON 结果中存在，则返回 |
agent_local_time |
如果 JSON 结果中存在，则返回 |
slow_changing_modified_timestamp |
如果 JSON 结果中存在，则返回 |
service_pack_major |
如果 JSON 结果中存在，则返回 |
device_id |
如果 JSON 结果中存在，则返回 |
system_product_name |
如果 JSON 结果中存在，则返回 |
product_type |
如果 JSON 结果中存在，则返回 |
local_ip |
如果 JSON 结果中存在，则返回 |
external_ip |
如果 JSON 结果中存在，则返回 |
cid |
如果 JSON 结果中存在，则返回 |
platform_name |
如果 JSON 结果中存在，则返回 |
config_id_base |
如果 JSON 结果中存在，则返回 |
last_seen |
如果 JSON 结果中存在，则返回 |
pointer_size |
如果 JSON 结果中存在，则返回 |
agent_version |
如果 JSON 结果中存在，则返回 |
JSON 结果
以下示例说明了使用获取主机信息操作时收到的 JSON 结果输出：
[
{
"EntityResult": [
{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Default-First-Site-Name",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {
"version": "1111"
},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "111",
"hostname": "name",
"config_id_build": "8104",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "64-00-6a-2a-43-3f",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Domain name",
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0",
"device_id": "example-id",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "example-cid",
"platform_name": "Windows",
"config_id_base": "65994753",
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0",
"recent_logins": [
{
"user_name": "test",
"login_time": "2022-08-10T07:36:38Z"
},
{
"user_name": "test",
"login_time": "2022-08-10T07:36:35Z"
}
],
"online_status": "offline"
}
],
"Entity": "198.51.100.255"
}
]
输出消息
获取主机信息操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Get Host
Information". Reason: ERROR_REASON
|
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表介绍了使用获取主机信息操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
按 IOC 获取主机 - 已弃用
列出 CrowdStrike Falcon 中与 IOC 相关的主机。支持的实体：
主机名、网址、IP 地址和哈希。
注意：主机名实体会被视为网域 IOC。该操作会从网址中提取网域部分。仅支持 MD5 和 SHA-256 哈希。
实体
此操作将在以下实体上运行：
- IP 地址
- 主机名
- 网址
- 哈希
操作输入
不适用
操作输出
脚本结果
| 脚本结果名称 | 值选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON 结果
{
"hash":
[{
"modified_timestamp": "2019-01-17T13: 44: 57Z",
"major_version": "10",
"site_name": "Example-Name",
"platform_id": "ExampleID",
"config_id_platform": "3",
"system_manufacturer": "ExampleInc.",
"meta": {"version": "49622"},
"first_seen": "2018-04-22T13: 06: 53Z",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "14393",
"hostname": "name",
"config_id_build": "ExampleID",
"minor_version": "0",
"os_version": "Windows10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "1",
"status": "normal",
"bios_manufacturer": "ExampleInc.",
"machine_domain": "Example Domain",
"Device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2018-12-11T23: 09: 18.071417837Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2018-12-11T23: 08: 38.16990705Z",
"policy_id": "Example ID"
}
},
"agent_local_time": "2019-01-14T19: 41: 09.738Z",
"slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
"service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
"system_product_name": "OptiPlex7040",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"cid": "123456789abcdef123456789abcdef12",
"platform_name": "Windows",
"config_id_base": "ExampleID",
"policies":
[{
"applied": true,
"applied_date": "2019-01-02T22: 45: 21.315392338Z",
"settings_hash": "18db1203",
"policy_type": "prevention",
"assigned_date": "2019-01-02T22: 45: 11.214774996Z",
"policy_id": "Example ID"
}],
"last_seen": "2019-01-17T13: 44: 46Z",
"pointer_size": "8",
"agent_version": "4.18.8104.0"
}]
}
实体丰富化
| 扩充项字段 | 逻辑 |
|---|---|
| modified_timestamp | 如果存在于 JSON 结果中，则返回 |
| major_version | 如果存在于 JSON 结果中，则返回 |
| site_name | 如果存在于 JSON 结果中，则返回 |
| platform_id | 如果存在于 JSON 结果中，则返回 |
| config_id_platform | 如果存在于 JSON 结果中，则返回 |
| system_manufacturer | 如果存在于 JSON 结果中，则返回 |
| meta | 如果存在于 JSON 结果中，则返回 |
| first_seen | 如果存在于 JSON 结果中，则返回 |
| service_pack_minor | 如果存在于 JSON 结果中，则返回 |
| product_type_desc | 如果存在于 JSON 结果中，则返回 |
| build_number | 如果存在于 JSON 结果中，则返回 |
| 主机名 | 如果存在于 JSON 结果中，则返回 |
| config_id_build | 如果存在于 JSON 结果中，则返回 |
| minor_version | 如果存在于 JSON 结果中，则返回 |
| os_version | 如果存在于 JSON 结果中，则返回 |
| provision_status | 如果存在于 JSON 结果中，则返回 |
| mac_address | 如果存在于 JSON 结果中，则返回 |
| bios_version | 如果存在于 JSON 结果中，则返回 |
| agent_load_flags | 如果存在于 JSON 结果中，则返回 |
| 状态 | 如果存在于 JSON 结果中，则返回 |
| bios_manufacturer | 如果存在于 JSON 结果中，则返回 |
| machine_domain | 如果存在于 JSON 结果中，则返回 |
| Device_policies | 如果存在于 JSON 结果中，则返回 |
| agent_local_time | 如果存在于 JSON 结果中，则返回 |
| slow_changing_modified_timestamp | 如果存在于 JSON 结果中，则返回 |
| service_pack_major | 如果存在于 JSON 结果中，则返回 |
| system_product_name | 如果存在于 JSON 结果中，则返回 |
| product_type | 如果存在于 JSON 结果中，则返回 |
| local_ip | 如果存在于 JSON 结果中，则返回 |
| external_ip | 如果存在于 JSON 结果中，则返回 |
| cid | 如果存在于 JSON 结果中，则返回 |
| platform_name | 如果存在于 JSON 结果中，则返回 |
| config_id_base | 如果存在于 JSON 结果中，则返回 |
| 政策 | 如果存在于 JSON 结果中，则返回 |
| last_seen | 如果存在于 JSON 结果中，则返回 |
| pointer_size | 如果存在于 JSON 结果中，则返回 |
| agent_version | 如果存在于 JSON 结果中，则返回 |
实体分析洞见
不适用
案例墙
| 结果类型 | 值/说明 | 类型 |
|---|---|---|
| 输出消息* | 该操作不应失败，也不应停止 playbook 执行： 如果成功，并且找到了至少一个与提供的 IOC 相关的主机 (is_success=true)：“已成功在 CrowdStrike Falcon 中检索到与提供的 IOC 相关的主机。” 如果未找到相关主机 (is_success=false)：“CrowdStrike Falcon 中没有与提供的 IOC 相关的主机。” 该操作应失败并停止 Playbook 执行： 如果报告了严重错误：“执行操作‘{action name}’时出错。原因：{traceback}。” |
常规 |
按 IOC 获取进程名称 - 已弃用
在 CrowdStrike Falcon 中检索与 IOC 和提供的设备相关的进程。支持的实体：主机名、网址、IP 地址和哈希。
注意：主机名实体会被视为网域 IOC。该操作会从网址中提取网域部分。仅支持 MD5、SHA-1 和 SHA-256 哈希。IP 地址实体会被视为 IOC。
参数
| 参数名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 设备名称 | 11 | 不适用 | 是 | 指定要检索与实体相关的进程的设备的逗号分隔列表。 |
运行时间
此操作将在以下实体上运行：
- 主机名
- 网址
- 哈希
操作执行结果
脚本结果
| 脚本结果名称 | 值选项 | 示例 |
|---|---|---|
| is_success | True/False | is_success:False |
JSON 结果
{
"EntityResult":
[{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
},{
"Process Name": "example.exe",
"Indicator": "986a4715113359b527b15efe1ee09306",
"Host Name": "example-name"
}],
"Entity": "example_entity"
}
实体丰富化
| 扩充项字段名称 | 逻辑 - 适用场景 |
|---|---|
| 进程名称 | 如果存在于 JSON 结果中，则返回 |
| 指标 | 如果存在于 JSON 结果中，则返回 |
| 主机名 | 如果存在于 JSON 结果中，则返回 |
实体分析
不适用
案例墙
| 结果类型 | 值/说明 | 类型 |
|---|---|---|
| 输出消息* | 该操作不应失败，也不应停止 playbook 执行： 如果至少一个端点找到了与实体相关的进程 (is_success=true)：“已成功检索 CrowdStrike Falcon 中以下端点上与 IOC 相关的进程：{device name}。” 如果至少有一个端点未找到任何进程，或者未找到设备 (is_success=true)：“在 CrowdStrike Falcon 的以下端点上未找到相关进程：{device name}。” 如果 未找到所有端点的进程或未找到任何设备 (is_success=false)：“在 CrowdStrike Falcon 中，未在提供的端点上找到相关进程。 操作应失败并停止 playbook 执行： 如果报告了严重错误： “执行‘{action name}’时出错。 原因：{trace back}。” |
隐藏主机
使用隐藏主机操作，在 CrowdStrike Falcon 控制台中隐藏一个或多个主机。
此操作在以下 Google SecOps 实体上运行：
- 主机名
- IP 地址
操作输入
Hide Hosts 操作需要以下参数：
| 参数 | 说明 |
|---|---|
Hostname |
可选。 要在 CrowdStrike Falcon 中隐藏的主机名列表（以英文逗号分隔）。 该操作会处理此参数中提供的输入值以及附加到案例的 |
Customer ID |
可选。 用于定位特定租户的唯一 CrowdStrike 客户 ID (CID)。 在 Falcon Flight Control 或多租户环境中，必须使用此参数才能对特定子 CID 执行操作。 |
操作输出
隐藏主机操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 实体丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
Hide Hosts 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Hide Host". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表介绍了使用隐藏主机操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
true 或 false |
Lift Contained 端点
使用解除端点隔离操作可解除 CrowdStrike Falcon 中的端点隔离。
此操作将在以下实体上运行：
- IP 地址
- 主机名
操作输入
Lift Contained Endpoint（解除端点隔离）操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Fail If Timeout |
可选
如果选择此选项，但未在所有端点上解除隔离，则操作会失败。 默认处于选中状态。 |
操作输出
Lift Contained Endpoint 操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 实体丰富化表 | 可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
实体丰富化
Lift Contained Endpoint 操作支持以下实体丰富：
| 扩充项字段 | 逻辑 |
|---|---|
status |
如果 JSON 结果中存在，则返回 |
modified_timestamp |
如果 JSON 结果中存在，则返回 |
major_version |
如果 JSON 结果中存在，则返回 |
config_id_platform |
如果 JSON 结果中存在，则返回 |
system_manufacturer |
如果 JSON 结果中存在，则返回 |
device_policies |
如果 JSON 结果中存在，则返回 |
meta |
如果 JSON 结果中存在，则返回 |
pointer_size |
如果 JSON 结果中存在，则返回 |
last_seen |
如果 JSON 结果中存在，则返回 |
agent_local_time |
如果 JSON 结果中存在，则返回 |
first_seen |
如果 JSON 结果中存在，则返回 |
service_pack_major |
如果 JSON 结果中存在，则返回 |
slow_changing_modified_timestamp |
如果 JSON 结果中存在，则返回 |
service_pack_minor |
如果 JSON 结果中存在，则返回 |
system_product_name |
如果 JSON 结果中存在，则返回 |
product_type_desc |
如果 JSON 结果中存在，则返回 |
build_number |
如果 JSON 结果中存在，则返回 |
cid |
如果 JSON 结果中存在，则返回 |
local_ip |
如果 JSON 结果中存在，则返回 |
external_ip |
如果 JSON 结果中存在，则返回 |
hostname |
如果 JSON 结果中存在，则返回 |
config_id_build |
如果 JSON 结果中存在，则返回 |
minor_version |
如果 JSON 结果中存在，则返回 |
platform_id |
如果 JSON 结果中存在，则返回 |
os_version |
如果 JSON 结果中存在，则返回 |
config_id_base |
如果 JSON 结果中存在，则返回 |
provision_status |
如果 JSON 结果中存在，则返回 |
mac_address |
如果 JSON 结果中存在，则返回 |
bios_version |
如果 JSON 结果中存在，则返回 |
platform_name |
如果 JSON 结果中存在，则返回 |
agent_load_flags |
如果 JSON 结果中存在，则返回 |
device_id |
如果 JSON 结果中存在，则返回 |
product_type |
如果 JSON 结果中存在，则返回 |
agent_version |
如果 JSON 结果中存在，则返回 |
JSON 结果
以下示例说明了使用解除隔离端点操作时收到的 JSON 结果输出：
{
"EntityResult":
{
"status": "contained",
"modified_timestamp": "2019-06-24T07:47:37Z",
"major_version": "6", "policies":
[{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
}],
"config_id_platform": "example-id",
"bios_manufacturer": "Example Inc.",
"system_manufacturer": "Example Corporation",
"Device_policies":
{
"global_config":
{
"applied": "True",
"applied_date": "2019-06-03T23:24:04.893780991Z",
"settings_hash": "a75911b0",
"policy_type": "globalconfig",
"assigned_date": "2019-06-03T23:23:17.184432743Z",
"policy_id": ""
},
"Sensor_update":
{
"applied": "True",
"applied_date": "2019-05-30T23:13:55.23597658Z",
"settings_hash": "65994753|3|2|automatic;101",
"uninstall_protection": "ENABLED",
"policy_type": "sensor-update",
"assigned_date": "2019-05-30T23:04:31.485311459Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Prevention":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": ""
},
"device_control":
{
"applied": "True",
"applied_date": "2019-06-03T23:14:29.800434222Z",
"policy_type": "device-control",
"assigned_date": "2019-06-03T23:05:17.425127539Z",
"policy_id": ""
},
"Remote_response":
{
"applied": "True",
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": ""
}
},
"meta":
{"version": "12765"},
"pointer_size": "8",
"last_seen": "2019-06-24T07:45:34Z",
"agent_local_time": "2019-06-18T12:17:06.259Z",
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_major": "0",
"slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
"service_pack_minor": "0",
"system_product_name":"Virtual Machine",
"product_type_desc": "Server",
"build_number": "9600",
"cid": "",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"hostname": "example-hostname",
"config_id_build": "9106",
"minor_version": "3",
"platform_id": "0",
"os_version": "Windows Server 2012 R2",
"config_id_base": "example-id",
"provision_status": "Provisioned",
"mac_address": "01-23-45-ab-cd-ef",
"bios_version": "090007 ",
"platform_name": "Windows",
"agent_load_flags": "1",
"device_id": "",
"product_type": "3",
"agent_version": "5.10.9106.0"
},
"Entity": "198.51.100.255"
}
输出消息
Lift Contained Endpoint 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Waiting for containment lift to finish for the following
endpoints: ENTITY_ID |
异步消息。 |
Error executing action "Lift
Contained Endpoint". Reason: the following endpoints initiated containment
lift, but were not able to finish it during action execution:
ENTITY_ID |
操作失败。 检查端点状态和 |
Error executing action "Lift Contained Endpoint". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表介绍了使用解除隔离端点操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
列出主机漏洞
使用列出主机漏洞操作列出 CrowdStrike Falcon 中在主机上发现的漏洞。
此操作需要 Falcon Spotlight 许可和权限。
此操作将在以下实体上运行：
- IP 地址
- 主机名
操作输入
列出主机漏洞操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Severity Filter |
可选
指定漏洞严重级别的逗号分隔列表。如果未提供任何内容，该操作会提取所有相关漏洞。可能的值： |
Create Insight |
可选
如果选择此选项，该操作会为每个实体创建一条数据分析，其中包含相关漏洞的统计信息。 默认处于选中状态。 |
Max Vulnerabilities To Return |
可选
指定每个主机要返回的漏洞数量。如果未提供任何内容，该操作会处理所有相关漏洞。 默认值为 |
操作输出
列出主机漏洞操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
案例墙表格
在 Case Wall 上，列出主机漏洞操作会提供以下表格：
类型：实体
列：
- 名称
- 得分
- 严重级别
- 状态
- 应用
- 有修复措施
JSON 结果
以下示例说明了使用列出主机漏洞操作时收到的 JSON 结果输出：
{
"statistics": {
"total": 123,
"severity": {
"critical": 1,
"high": 1,
"medium": 1,
"low": 1,
"unknown": 1
},
"status": {
"open": 1,
"reopened": 1
},
"has_remediation": 1
},
"details": [
{
"id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
"cid": "123456789abcdef123456789abcdef12",
"aid": "74089e36ac3a4271ab14abc076ed18eb",
"created_timestamp": "2021-05-12T22:45:47Z",
"updated_timestamp": "2021-05-12T22:45:47Z",
"status": "open",
"cve": {
"id": "CVE-2021-28476",
"base_score": 9.9,
"severity": "CRITICAL",
"exploit_status": 0
},
"app": {
"product_name_version": "Example 01"
},
"apps": [
{
"product_name_version": "Example 01",
"sub_status": "open",
"remediation": {
"ids": [
"acc34cd461023ff8a966420fa8839365"
]
}
}
],
"host_info": {
"hostname": "example-hostname",
"local_ip": "192.0.2.1",
"machine_domain": "",
"os_version": "Windows 10",
"ou": "",
"site_name": "",
"system_manufacturer": "Example Inc.",
"groups": [],
"tags": [],
"platform": "Windows"
},
"remediation": [
{
"id": "acc34cd461023ff8a966420fa8839365",
"reference": "KB5003169",
"title": "Update Microsoft Windows 10 1909",
"action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
"link": "https://example.com/ABCDEF"
}
]
}
]
}
输出消息
列出主机漏洞操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "List Host Vulnerabilities". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "List Host
Vulnerabilities". Reason: Invalid value provided in the Severity Filter
parameter. Possible values: Critical, High, Medium, Low, Unknown.
|
操作失败。 检查 |
脚本结果
下表介绍了使用列出主机漏洞操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
列出主机
使用列出主机操作列出 CrowdStrike Falcon 中的可用主机。
此操作会在所有实体上运行。
操作输入
列出主机操作需要以下参数：
| 参数 | |
|---|---|
Filter Logic |
可选
搜索主机时要使用的逻辑。 默认值为
|
Filter Value |
可选
用于主机过滤的值。 |
Max Hosts To Return |
可选
要返回的主机数量。 默认值为 最大值为 |
操作输出
列出主机操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用列出主机操作时收到的 JSON 结果输出：
[{
"modified_timestamp": "2019-05-15T15:03:12Z",
"platform_id": "0",
"config_id_platform": "3",
"system_manufacturer": "Example Corporation",
"meta": {"version": "4067"},
"first_seen": "2019-04-29T07:39:45Z",
"service_pack_minor": "0",
"product_type_desc": "Server",
"build_number": "9600",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "3",
"os_version": "Windows Server 2012 R2",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "090007 ",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"device_policies":
{
"Sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:05:09.577000651Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:03:36.804382667Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-04-29T07:40:04.469808388Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-04-29T07:39:55.218642441Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.896362608Z",
"assigned_date": "2019-04-29T07:39:55.218637999Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-04-29T07:45:18.94807838Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-04-29T07:45:08.165941325Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-02T22:05:00.015Z",
"slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
"service_pack_major": "0",
"device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
"system_product_name": "Virtual Machine",
"product_type": "3",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "6",
"platform_name": "Windows",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-29T07:40:06.876850888Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-29T07:39:55.218651583Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-15T15:01:23Z"
},
{
"modified_timestamp": "2019-05-13T07:24:36Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Example Inc.",
"meta": {"version": "14706"},
"first_seen": "2018-04-17T11:02:20Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname": "example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.6.5",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-05T12:52:23.121596885Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-05T12:51:37.544605747Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"Remote_response":
{
"applied": true,
"applied_date": "2019-02-10T07:57:59.064362539Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-10T07:57:50.610924385Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-25T15:01:28.51681072Z",
"assigned_date": "2019-03-25T15:00:22.442519168Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"Prevention":
{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-10T07:57:53.70275875Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-10T07:57:50.610917888Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-05T15:52:08.172Z",
"slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
"service_pack_major": "0",
"device_id": "cb4493e4af2742b068efd16cb48b7260",
"system_product_name": "example-name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-04T06:54:06.909774295Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-04T06:53:57.135897343Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-13T07:21:30Z"
},
{
"modified_timestamp": "2019-05-09T14:22:50Z",
"site_name": "Example-Site-Name",
"config_id_platform": "3",
"system_manufacturer": "Dell Inc.",
"meta": {"version": "77747"},
"first_seen": "2018-07-01T12:19:23Z",
"platform_name": "Windows",
"service_pack_minor": "0",
"product_type_desc": "Workstation",
"build_number": "17134",
"hostname":"example-hostname",
"config_id_build": "8904",
"minor_version": "0",
"os_version": "Windows 10",
"provision_status": "Provisioned",
"mac_address": "01:23:45:ab:cd:ef",
"bios_version": "1.2.1",
"agent_load_flags": "0",
"status": "normal",
"bios_manufacturer": "Example Inc.",
"machine_domain": "example.com",
"device_policies":
{
"sensor_update":
{
"applied": true,
"applied_date": "2019-05-02T22:10:50.336101107Z",
"settings_hash": "65994753|3|2|automatic",
"policy_type": "sensor-update",
"assigned_date": "2019-05-02T22:10:50.336100731Z",
"policy_id": "9d1e405846de4ebdb63f674866d390dc"
},
"remote_response":
{
"applied": true,
"applied_date": "2019-02-08T02:46:31.919442939Z",
"settings_hash": "f472bd8e",
"policy_type": "remote-response",
"assigned_date": "2019-02-08T02:46:22.219718098Z",
"policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
},
"device_control":
{
"applied": true,
"applied_date": "2019-03-24T16:43:31.777981725Z",
"assigned_date": "2019-03-24T16:42:21.395540493Z",
"policy_type": "device-control",
"policy_id": "c360df7193364b23aa4fc47f0238c899"
},
"prevention":
{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
},
"global_config":
{
"applied": true,
"applied_date": "2019-02-08T01:14:14.810607774Z",
"settings_hash": "3d78f9ab",
"policy_type": "globalconfig",
"assigned_date": "2019-02-08T01:14:05.585922067Z",
"policy_id": "985b1a25afcb489ea442d2d1430b1679"
}
},
"cid": "123456789abcdef123456789abcdef12",
"agent_local_time": "2019-05-03T01:10:29.340Z",
"slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
"service_pack_major": "0",
"device_id": "1c2f1a7f88f8457f532f1c615f07617b",
"system_product_name": "Example Name",
"product_type": "1",
"local_ip": "192.0.2.1",
"external_ip": "203.0.113.1",
"major_version": "10",
"platform_id": "0",
"config_id_base": "65994753",
"policies":
[{
"applied": true,
"applied_date": "2019-04-03T23:58:50.870694195Z",
"settings_hash": "ce17279e",
"policy_type": "prevention",
"assigned_date": "2019-04-03T23:57:22.534513932Z",
"policy_id": "7efdf97d7805402186b61151e8abd745"
}],
"agent_version": "4.26.8904.0",
"pointer_size": "8",
"last_seen": "2019-05-09T14:20:53Z"
}]
输出消息
列出主机操作提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "List Hosts".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
脚本结果
下表介绍了使用列出主机操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
列出已上传的 IOC
使用列出已上传的 IOC 操作，列出 CrowdStrike Falcon 中可用的自定义 IOC。
此操作会在所有实体上运行。
操作输入
列出上传的 IOC 操作需要以下参数：
| 参数 | |
|---|---|
IOC Type Filter |
可选
要返回的 IOC 类型的英文逗号分隔列表。 默认值为
|
Value Filter Logic |
可选
过滤逻辑的值。 默认值为
如果设置了 |
Value Filter String |
可选
要在 IOC 中搜索的字符串。 |
Max IOCs To Return |
可选
要返回的 IOC 数量。 默认值为 最大值为 500。 |
操作输出
列出上传的 IOC 操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
案例墙表格
在案例墙上，列出已上传的 IOC 操作会提供下表：
列：
- 操作
- 严重级别
- 已签名
- Active View 命中次数
- 平台
- 标记
- 创建时间
- 创建者
JSON 结果
以下示例介绍了使用列出已上传的 IOC 操作时收到的 JSON 结果输出：
{
"id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
"type": "sha256",
"value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
"action": "no_action",
"severity": "",
"metadata": {
"signed": false,
"av_hits": -1
},
"platforms": [
"windows"
],
"tags": [
"Hashes 22.Nov.20 15:29 (Windows)"
],
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-04-22T03:54:09.235120463Z",
"modified_by": "internal@example.com"
}
输出消息
列出上传的 IOC 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully found custom IOCs for the provided criteria in
CrowdStrike Falcon. |
操作成功。 |
Error executing action "List Uploaded IOCs". Reason:
ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "List Uploaded IOCs". Reason: "IOC Type
Filter" contains an invalid value. Please check the spelling. Possible
values: ipv4, ipv6, md5, sha1, sha256, domain. |
操作失败。 请检查拼写和 |
脚本结果
下表介绍了使用列出已上传的 IOC 操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
按需扫描
使用按需扫描操作在 CrowdStrike 中按需扫描端点。
此操作仅在 Windows 主机和以下实体上运行：
- IP 地址
- 主机名
按需扫描操作以异步方式运行。如有必要，请在 Google SecOps IDE 中调整脚本超时值。
操作输入
按需扫描操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
File Paths To Scan |
必需
要扫描的路径的逗号分隔列表。 默认值为 |
File Paths To Exclude From Scan |
可选
要从扫描中排除的路径逗号分隔列表。 |
Host Group Name |
可选
要启动扫描的主机组名称列表（以英文逗号分隔）。 注意：系统会为每个主机群组创建单独的扫描流程。 |
Scan Description |
可选
扫描的说明。如果未提供值，该操作会将说明设置为 |
CPU Priority |
可选
扫描期间底层主机要使用的 CPU 量。 可能的值： 默认值为 |
Sensor Anti-malware Detection Level |
可选
指定传感器反恶意软件检测级别。 注意：检测级别必须等于或高于防护级别。 可能的值： 默认值为 |
Sensor Anti-malware Prevention Level |
可选
指定传感器反恶意软件防护级别。 注意：检测级别必须等于或高于防护级别。 可能的值： 默认值为 |
Cloud Anti-malware Detection Level |
可选
指定云端反恶意软件检测级别。 注意：检测级别必须等于或高于防护级别。 可能的值： 默认值为 |
Cloud Anti-malware Prevention Level |
可选
指定云端反恶意软件防护级别。 注意：检测级别必须等于或高于防护级别。 可能的值： 默认值为 |
Quarantine Hosts |
可选
如果选中此选项，系统会在扫描过程中隔离底层主机。 默认情况下不选择。 |
Create Endpoint Notification |
可选
如果选中此选项，扫描过程会创建端点通知。 默认处于选中状态。 |
Max Scan Duration |
可选
扫描运行的小时数。如果未提供值，则扫描会持续运行。 默认值为 |
Hostname |
可选
要执行操作的主机名的逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
操作输出
按需扫描操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用按需扫描操作时收到的 JSON 结果输出：
{
"id": "ID",
"cid": "123456789abcdef123456789abcdef12",
"profile_id": "c94149b9a52d4c76b027e63a88dcc710",
"description": "test APIS ",
"file_paths": [
"C:\\Windows"
],
"initiated_from": "falcon_adhoc",
"quarantine": true,
"cpu_priority": 1,
"preemption_priority": 1,
"metadata": [
{
"host_id": "HOST_ID",
"host_scan_id": "909262bd2fff664282a46464d8625a62",
"scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"status": "completed",
"started_on": "2024-02-05T13:55:45.25066635Z",
"completed_on": "2024-02-05T14:11:18.092427363Z",
"last_updated": "2024-02-05T14:11:18.092431457Z"
}
],
"filecount": {
"scanned": 16992,
"malicious": 0,
"quarantined": 0,
"skipped": 124998,
"traversed": 198822
},
"targeted_host_count": 1,
"completed_host_count": 1,
"status": "completed",
"hosts": [
"86db81f390394cb080417a1ffb7d46fd"
],
"endpoint_notification": true,
"pause_duration": 2,
"max_duration": 1,
"max_file_size": 60,
"sensor_ml_level_detection": 2,
"sensor_ml_level_prevention": 2,
"cloud_ml_level_detection": 2,
"cloud_ml_level_prevention": 2,
"policy_setting": [
26439818674573,
],
"scan_started_on": "2024-02-05T13:55:45.25Z",
"scan_completed_on": "2024-02-05T14:11:18.092Z",
"created_on": "2024-02-05T13:55:43.436807525Z",
"created_by": "88f5d9e8284f4b85b92dab2389cb349d",
"last_updated": "2024-02-05T14:14:18.776620391Z"
}
输出消息
按需扫描操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
|
操作失败。 请检查与服务器的连接、输入参数或凭据。 |
脚本结果
下表介绍了使用按需扫描操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
Ping
使用 Ping 操作测试与 CrowdStrike Falcon 的连接。
此操作会在所有实体上运行。
操作输入
无。
操作输出
Ping 操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 脚本结果 | 可用 |
脚本结果
下表介绍了使用 Ping 操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
运行脚本
使用运行脚本操作在 CrowdStrike 中的端点上执行 PowerShell 脚本。
此操作是异步的。如有必要，请在 Google SecOps IDE 中调整脚本超时值。
此操作在 IP 地址和主机名实体上运行。
操作输入
运行脚本操作需要以下参数：
| 参数 | |
|---|---|
Customer ID |
可选
指定要为其执行操作的客户的 ID。 |
Script Name |
可选
需要执行的脚本文件的名称。 注意：必须提供 |
Raw Script |
可选
需要在端点上执行的原始 PowerShell 脚本载荷。 注意：必须提供 |
Hostname |
可选
要执行操作的主机名的逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Device ID |
可选
要执行操作的设备 ID 逗号分隔列表。 注意：该操作会针对附加到案例的实体和这些参数值执行。 |
Queue Offline |
可选
如果选中此选项，针对离线主机的命令会排队，并在主机重新连接到网络后执行。 默认情况下不选择。 |
操作输出
运行脚本操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
在案例墙上，运行脚本操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
|
操作失败。 请检查与服务器的连接、输入参数或凭据。 |
脚本结果
下表介绍了使用运行脚本操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
搜索事件
使用搜索事件操作在 CrowdStrike Falcon 下一代 SIEM (LogScale) 代码库中运行异步事件搜索查询。
此操作不会在 Google SecOps 实体上运行。
操作输入
搜索活动操作需要以下参数：
| 参数 | |
|---|---|
Repository |
必需
要搜索的代码库。 可能的值如下：
默认值为 |
Query |
必需
要在 CrowdStrike 中执行的查询。 |
Time Frame |
可选
结果的时间范围。 如果选择了 可能的值如下：
默认值为 |
Start Time |
可选
结果的开始时间，采用 ISO 8601 格式。 如果在 |
End Time |
可选
结果的结束时间（采用 ISO 8601 格式）。 如果未提供任何值，并且在 |
Max Results To Return |
可选
查询要返回的结果数上限。 最大值为 默认值为 |
操作输出
搜索事件操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
在案例墙上，搜索事件操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
|
该操作不应导致 playbook 执行失败或停止。 |
|
|
操作失败。 |
脚本结果
下表介绍了使用搜索事件操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
提交文件
使用提交文件操作将文件提交到 CrowdStrike 中的沙盒。
此操作需要 Falcon Sandbox 许可。
此操作不会在 Google SecOps 实体上运行。
支持的文件和归档格式
根据 CrowdStrike 门户，沙盒支持以下文件格式：
| 支持的文件格式 | |
|---|---|
.exe、.scr、.pif、.dll、.com、.cpl |
可移植可执行文件 |
.doc、.docx、.ppt、.pps、.pptx、.ppsx、.xls、.xlsx、.rtf、.pub |
Office 文档 |
.pdf |
|
.apk |
APK |
.jar |
可执行 JAR 文件 |
.sct |
Windows 脚本组件 |
.lnk |
Windows 快捷方式 |
.chm |
Windows 帮助 |
.hta |
HTML 应用 |
.wsf |
Windows 脚本文件 |
.js |
JavaScript |
.vbs，.vbe |
Visual Basic |
.swf |
Shockwave Flash |
.pl |
Perl |
.ps1、.psd1、.psm1 |
PowerShell |
.svg |
可缩放矢量图形 |
.py |
Python |
.elf |
Linux ELF 可执行文件 |
.eml |
电子邮件文件：MIME RFC 822 |
.msg |
通过电子邮件发送文件：Outlook |
根据 CrowdStrike 门户，沙盒支持以下归档格式：
.zip.7z
操作输入
提交文件操作需要以下参数：
| 参数 | |
|---|---|
File Paths |
必需
所提交文件的绝对路径列表。 格式取决于您的部署：
如需查看支持的文件格式列表，请参阅支持的文件和归档格式。 |
Sandbox Environment |
可选
用于分析的沙盒环境。 默认值为
|
Network Environment |
可选
要分析的网络环境。 默认值为
|
Archive Password |
可选
处理归档文件时要使用的密码。 |
Document Password |
可选
处理 Adobe 或 Office 文件时使用的密码。 密码长度上限为 32 个字符。 |
Check Duplicate |
可选
如果选择此选项，该操作会检查文件是否已在之前提交，并返回可用报告。 在验证期间，该操作不会考虑 默认处于选中状态。 |
Comment |
可选
要提交的评论。 |
Confidential Submission |
可选
如果选中此选项，则该文件仅向您的客户账号中的用户显示。 默认情况下不选择。 |
操作输出
提交文件操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
案例墙表格
在案例墙上，提交文件操作会提供下表：
列：
- 结果
- 名称
- 威胁评分
- 判定
- 标记
输出消息
Submit File 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
|
操作返回了错误。 查看此操作支持的文件格式。 |
Waiting for results for the following
files: PATHS |
异步消息。 |
Error executing action "Submit File".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Submit File".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE.
|
操作失败。 增加 IDE 中的超时时间。 |
脚本结果
下表介绍了使用提交文件操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
提交网址
使用提交网址操作将网址提交到 CrowdStrike 中的沙盒。
此操作需要 Falcon Sandbox 许可。如需查看沙盒支持的文件格式，请参阅本文档的支持的文件和归档格式部分。
此操作不会在 Google SecOps 实体上运行。
操作输入
提交网址操作需要以下参数：
| 参数 | |
|---|---|
URLs |
必需
要提交的网址。 |
Sandbox Environment |
可选
用于分析的沙盒环境。 默认值为
|
Network Environment |
可选
要分析的网络环境。 默认值为
|
Check Duplicate |
可选
如果选择此选项，该操作会检查网址之前是否已提交，并返回可用报告。 在验证期间，该操作不会考虑 默认处于选中状态。 |
操作输出
提交网址操作会提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
提交网址操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Waiting for results for the following
URLs: PATHS |
异步消息。 |
Error executing action "Submit URL".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Submit URL".
Reason: action ran into a timeout during execution. Pending files:
FILES_IN_PROGRESS. Please increase
the timeout in IDE. |
操作失败。 增加 IDE 中的超时时间。 |
脚本结果
下表介绍了使用提交网址操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
更新提醒
使用更新提醒操作在 CrowdStrike Falcon 中更新提醒。
此操作不会在 Google SecOps 实体上运行。
操作输入
更新提醒操作需要以下参数：
| 参数 | |
|---|---|
Alert ID |
必需 要更新的提醒的 ID。 |
Status |
可选 提醒的状态。 可能的值如下：
|
Verdict |
可选 提醒的判定结果。 可能的值如下：
|
Assign To |
可选 要将提醒分配给的分析师的名称。 如果您提供 即使提供的用户在系统中不存在，API 也会接受任何值。 |
操作输出
更新提醒操作会提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用更新提醒操作时收到的 JSON 结果输出：
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
输出消息
更新提醒操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully updated alert with ID
ALERT_ID in CrowdStrike |
操作成功。 |
|
操作失败。 请检查与服务器的连接、输入参数或凭据。 |
脚本结果
下表介绍了使用更新提醒操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
更新检测 - 已弃用
使用更新检测操作更新 CrowdStrike Falcon 中的检测。
此操作会在所有实体上运行。
操作输入
更新检测操作需要以下参数：
| 参数 | 说明 |
|---|---|
Detection ID |
必填。 要更新的检测结果的 ID。 |
Status |
必填。 检测状态。 默认值为
|
Assign Detection to |
可选。 检测结果受托人（CrowdStrike Falcon 用户）的电子邮件地址。 |
操作输出
更新检测操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
更新检测操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. |
操作成功。 |
Error executing action "Update Detection". Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Update Detection". Reason: Either
"Status" or "Assign Detection To" should have a proper value. |
操作失败。 检查 |
脚本结果
下表介绍了使用更新检测操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
true 或 false |
更新身份保护检测
使用更新身份保护检测在 CrowdStrike 中更新身份保护检测。
此操作需要 Identity Protection 许可。
此操作不会在 Google SecOps 实体上运行。
操作输入
更新身份保护检测操作需要以下参数：
| 参数 | |
|---|---|
Detection ID |
必需
要更新的检测结果的 ID。 |
Status |
可选
检测的状态。 默认值为 可能的值如下：
|
Assign to |
可选
所分配分析师的姓名。 如果提供了 如果提供的值无效，该操作不会更改当前受让人。 |
操作输出
Update Identity Protection Detection 操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用更新身份保护检测操作时收到的 JSON 结果输出：
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:ID",
"assigned_to_uid": "example@example.com",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:ID",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:15.629Z",
"crawl_edge_ids": {
"Sensor": [
"N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
"XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
"N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
]
},
"crawl_vertex_ids": {
"Sensor": [
"aggind:ID",
"idpind:ID",
"ind:ID",
"uid:ID"
]
},
"crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
"created_timestamp": "2022-11-15T12:59:17.239585706Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:15.629Z",
"falcon_host_link": "https://example.com/",
"id": "ind:ID",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
"start_time": "2022-11-15T12:58:15.629Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"tags": [
"red_team"
],
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:17.239Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
输出消息
在 Case Wall 上，更新身份保护检测结果操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully updated identity protection detection with ID
DETECTION_ID in CrowdStrike.
|
操作成功。 |
Error executing action "Update Identity Protection Detection".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Update Identity Protection Detection".
Reason: identity protection detection with ID
DETECTION_ID wasn't found in
CrowdStrike. Please check the spelling. |
操作失败。 请检查拼写。 |
Error executing action "Update
Identity Protection Detection". Reason: at least one of the "Status" or
"Assign To" parameters should have a value. |
操作失败。 检查 |
脚本结果
下表介绍了使用更新身份保护检测操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
更新突发事件 - 已弃用
使用更新突发事件操作在 CrowdStrike 中更新突发事件。
此操作不会在 Google SecOps 实体上运行。
操作输入
更新突发事件操作需要以下参数：
| 参数 | 说明 |
|---|---|
Incident ID |
必填。 要更新的突发事件的 ID。 |
Status |
可选。 突发事件的状态。可能的值如下：
|
Assign to |
可选。 所分配分析师的姓名或邮箱。 如果提供了 如需指定姓名，请按以下格式提供分析师的名字和姓氏： |
操作输出
Update Incident 操作提供以下输出：
| 操作输出类型 | 可用性 |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用更新突发事件操作时收到的 JSON 结果输出：
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"host_ids": [
"fee8a6ef0cb3412e9a781dcae0287c85"
],
"hosts": [
{
"device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
"hostname": "DESKTOP-EXAMPLE",
"external_ip": "198.51.100.1",
"os_version": "Windows 10",
"status": "contained"
}
],
"created": "2023-01-09T12:12:51Z",
"state": "closed",
"status": 20,
"tactics": [
"Defense Evasion",
"Privilege Escalation",
"Credential Access"
],
"fine_score": 21
}
输出消息
更新突发事件操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
Successfully updated incident with ID
INCIDENT_ID in CrowdStrike |
操作成功。 |
Error executing action "Update Incident". Reason: ERROR_REASON |
操作失败。 请检查连接、输入参数或凭证。 |
Error executing action "Update Incident". Reason: incident with
ID INCIDENT_ID wasn't found in
CrowdStrike. Please check the spelling. |
操作失败。 请检查拼写。 |
脚本结果
下表介绍了使用更新突发事件操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
更新 IOC 信息
使用更新 IOC 信息操作，在 CrowdStrike Falcon 中更新自定义 IOC 的相关信息。
此操作会将主机名实体视为网域 IOC，并从网址中提取网域部分。此操作仅支持 MD5 和 SHA-256 哈希。
更新 IOC 信息操作在以下实体上运行：
- 主机名
- 网址
- IP 地址
- 哈希
操作输入
更新 IOC 信息操作需要以下参数：
| 参数 | |
|---|---|
Description |
可选
自定义 IOC 的新说明。 |
Source |
可选
自定义 IOC 的来源。 |
Expiration days |
可选
距离到期还剩的天数。 此参数仅影响网址、IP 地址和主机名实体。 |
Detect policy |
可选
如果选择此选项，该操作会针对识别出的 IOC 发送通知。如果未选中，则该操作不会发送通知。 默认处于选中状态。 |
操作输出
更新 IOC 信息操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
JSON 结果
以下示例说明了使用更新 IOC 信息操作时收到的 JSON 结果输出：
{
"id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
"type": "md5",
"value": "7e4b0f81078f27fde4aeb87b78b6214c",
"source": "testSource",
"action": "detect",
"severity": "high",
"description": "test description update",
"platforms": [
"example"
],
"tags": [
"Hashes 17.Apr.18 12:20 (Example)"
],
"expiration": "2022-05-01T12:00:00Z",
"expired": false,
"deleted": false,
"applied_globally": true,
"from_parent": false,
"created_on": "2021-04-22T03:54:09.235120463Z",
"created_by": "internal@example.com",
"modified_on": "2021-09-16T10:09:07.755804336Z",
"modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
输出消息
在案例墙上，更新 IOC 信息操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Update IOC
Information". Reason: ERROR_REASON
|
操作失败。 请检查与服务器的连接、输入参数或凭据。 |
脚本结果
下表介绍了使用更新 IOC 信息操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
上传 IOC
使用上传 IOC 操作在 CrowdStrike Falcon 中添加自定义 IOC。
此操作会将主机名实体视为网域 IOC，并从网址中提取网域部分。此操作仅支持 MD5 和 SHA-256 哈希。
上传 IOC 操作会在以下实体上运行：
- IP 地址
- 主机名
- 网址
- 哈希
操作输入
上传 IOC 操作需要以下参数：
| 参数 | |
|---|---|
Platform |
必需
与 IOC 相关的平台的逗号分隔列表。 默认值为
|
Severity |
必需
IOC 的严重级别。 默认值为
|
Comment |
可选
包含与 IOC 相关的更多背景信息的评论。 |
Host Group Name |
必需
主机组的名称。 |
Action |
可选
针对上传的 IOC 的操作。 默认值为 可能的值如下：
|
Days To Expire |
可选
IOC 过期前的天数。 |
操作输出
上传 IOC 操作提供以下输出：
| 操作输出类型 | |
|---|---|
| 案例墙附件 | 不可用 |
| 案例墙链接 | 不可用 |
| 案例墙表格 | 不可用 |
| 丰富化表 | 不可用 |
| JSON 结果 | 不可用 |
| 输出消息 | 可用 |
| 脚本结果 | 可用 |
输出消息
上传 IOC 操作会提供以下输出消息：
| 输出消息 | 消息说明 |
|---|---|
|
操作成功。 |
Error executing action "Upload IOCs".
Reason: ERROR_REASON |
操作失败。 请检查与服务器的连接、输入参数或凭证。 |
Error executing action "Upload IOCs". Reason: Host group
"HOST_GROUP_NAME" was not found.
Please check the spelling. |
操作失败。 检查 |
Error executing action "Upload IOCs".
Invalid value provided for the parameter "Platform". Possible values:
Windows, Linux, Mac. |
操作失败。 检查 |
脚本结果
下表介绍了使用上传 IOC 操作时脚本结果输出的值：
| 脚本结果名称 | 值 |
|---|---|
is_success |
True 或 False |
连接器
确保您已为每个 CrowdStrike 连接器配置最低权限。如需了解详情，请参阅本文档的连接器权限部分。
如需了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。
CrowdStrike 事件
事件是主机上的 Falcon 传感器收集的信息。 CrowdStrike 中有四种类型的事件：
| CrowdStrike 事件类型 | |
|---|---|
| 身份验证活动审核事件 | 每次在端点上请求、允许或完成授权时生成的事件。 |
| 检测摘要事件 | 在端点上检测到威胁时生成的事件。 |
| 远程响应会话结束事件 | 端点上的远程会话生成的事件。 |
| 用户活动审核事件 | 为监控活跃用户在端点上执行的活动而生成的事件。 |
连接器会将事件注入 Google SecOps，以创建提醒并使用事件数据丰富案例。您可以选择要将哪些事件注入 Google SecOps：所有事件类型或所选事件类型。
已弃用：CrowdStrike Detections 连接器
使用 CrowdStrike Detections Connector 从 CrowdStrike 提取检测结果。
动态列表可与 CrowdStrike API 支持的过滤条件搭配使用。
如何使用动态列表
使用动态列表时，请遵循以下建议：
- 使用 CrowdStrike FQL 语言修改连接器发送的过滤条件。
- 在动态列表中为每个过滤条件提供单独的条目。
- 如需注入分配给特定分析师的所有检测结果，请确保该分析师提供以下动态列表条目：
assigned_to_name:'ANALYST_USER_NAME'
动态列表支持以下参数：
| 支持的参数 | 说明 |
|---|---|
q |
在所有元数据字段中进行全文搜索。 |
date_updated |
最新检测更新的日期。 |
assigned_to_name |
检测分配对象的人类可读用户名。 |
max_confidence |
当检测结果具有多个具有不同置信度水平的关联行为时，此字段会捕获所有行为的最高置信度值。 参数值可以是 1 到 100 之间的任意整数。 |
detection_id |
可与其他 API（例如 Detection Details API 或 Resolve Detection API）结合使用的检测 ID。 |
max_severity |
当检测结果具有多个严重级别不同的关联行为时，此字段会捕获所有行为的最高严重级别值。 参数值可以是 1 到 100 之间的任意整数。 |
max_severity_displayname |
界面中用于确定检测严重程度的名称。 可能的值如下：
|
seconds_to_triaged |
检测结果的状态从 new 更改为 in_progress 所需的时间。 |
seconds_to_resolved |
检测结果的状态从 new 更改为任何已解决状态（true_positive、false_positive、ignored 和 closed）所需的时间。 |
status |
检测的当前状态。 可能的值如下：
|
adversary_ids |
CrowdStrike Falcon Intelligence 跟踪的攻击者拥有一个 ID，该 ID 与检测到的归因行为或指标相关联。这些 ID 位于可通过 Detection Details API 访问的检测元数据中。 |
cid |
贵组织的客户 ID (CID)。 |
连接器输入
CrowdStrike Detections 连接器需要以下参数：
| 参数 | 说明 |
|---|---|
Product Field Name |
必填。 包含 默认值为 |
Event Field Name |
必填。 包含 默认值为 |
Environment Field Name |
可选。 存储环境名称的字段的名称。 如果未找到环境字段，则使用默认环境。 默认值为 |
Environment Regex Pattern |
可选。 要对 使用默认值 |
Script Timeout (Seconds) |
必填。 运行当前脚本的 Python 进程的超时限制（以秒为单位）。 默认值为 |
API Root |
必填。 CrowdStrike 实例的 API 根。 默认值为 |
Client ID |
必填。 CrowdStrike 账号的客户端 ID。 |
Client Secret |
必填。 CrowdStrike 账号的客户端密钥。 |
Lowest Severity Score To Fetch |
可选。 要提取的检测结果的最低严重程度分数（最高 100）。 默认值为 |
Lowest Confidence Score To Fetch |
可选。 要提取的检测结果的最低置信度分数（最高 100）。 默认值为 |
Max Hours Backwards |
可选。 提取检测结果的小时数。 默认值为 |
Max Detections To Fetch |
可选。 在单个连接器迭代中要处理的检测数量。 默认值为 |
Disable Overflow |
可选。 如果选中，连接器会忽略溢出机制。 |
Verify SSL |
必填。 如果选中，集成会验证 SSL 证书。 |
Proxy Server Address |
可选。 要使用的代理服务器的地址。 |
Proxy Username |
可选。 用于进行身份验证的代理用户名。 |
Proxy Password |
可选。 用于进行身份验证的代理密码。 |
Case Name Template |
可选。 占位符格式：[FIELD_NAME
]。 |
Alert Name Template |
可选。 占位符格式：[FIELD_NAME
]。 |
Padding Period |
可选。 用于填充的小时数（最多 6 小时）。 |
Include Hidden Alerts |
可选。 如果启用，则提取标记为“隐藏”的提醒。 |
Fallback Severity |
可选。 如果缺少严重级别，则应用此级别。默认值：信息性。 |
Customer ID |
可选。 多租户 (MSSP) 环境的客户 ID。 |
连接器规则
此连接器支持代理。
连接器事件
连接器事件示例如下：
{
"cid": "123456789abcdef123456789abcdef12",
"created_timestamp": "2021-01-12T16:19:08.651448357Z",
"detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"device": {
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"cid": "123456789abcdef123456789abcdef12",
"agent_load_flags": "0",
"agent_local_time": "2021-01-12T16:07:16.205Z",
"agent_version": "6.13.12708.0",
"bios_manufacturer": "Example LTD",
"bios_version": "6.00",
"config_id_base": "65994753",
"config_id_build": "12708",
"config_id_platform": "3",
"external_ip": "203.0.113.1",
"hostname": "EXAMPLE-01",
"first_seen": "2021-01-12T16:01:43Z",
"last_seen": "2021-01-12T16:17:21Z",
"local_ip": "192.0.2.1",
"mac_address": "00-50-56-a2-5d-a3",
"major_version": "10",
"minor_version": "0",
"os_version": "Windows 10",
"platform_id": "0",
"platform_name": "Windows",
"product_type": "1",
"product_type_desc": "Workstation",
"status": "normal",
"system_manufacturer": "Example, Inc.",
"system_product_name": "Example ",
"modified_timestamp": "2021-01-12T16:17:29Z",
"behaviors":
{
"device_id": "74089e36ac3a4271ab14abc076ed18eb",
"timestamp": "2021-01-12T16:17:19Z",
"template_instance_id": "10",
"behavior_id": "10146",
"filename": "reg.exe",
"filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"alleged_filetype": "exe",
"cmdline": "REG ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
"scenario": "credential_theft",
"objective": "Gain Access",
"tactic": "Credential Access",
"tactic_id": "TA0006",
"technique": "Credential Dumping",
"technique_id": "T1003",
"display_name": "Example-Name",
"severity": 70,
"confidence": 80,
"ioc_type": "hash_sha256",
"ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"ioc_source": "library_load",
"ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
"user_name": "Admin",
"user_id": "example-id",
"control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
"triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
"sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
"md5": "05cf3ce225b05b669e3118092f4c8eab",
"parent_details": {
"parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
"parent_md5": "9d59442313565c2e0860b88bf32b2277",
"parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
"parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
},
"pattern_disposition": 2048,
"pattern_disposition_details": {
"indicator": false,
"detect": false,
"inddet_mask": false,
"sensor_only": false,
"rooting": false,
"kill_process": false,
"kill_subprocess": false,
"quarantine_machine": false,
"quarantine_file": false,
"policy_disabled": false,
"kill_parent": false,
"operation_blocked": false,
"process_blocked": true,
"registry_operation_blocked": false,
"critical_process_disabled": false,
"bootup_safeguard_enabled": false,
"fs_operation_blocked": false,
"handle_operation_downgraded": false
}
}
},
"email_sent": false,
"first_behavior": "2021-01-12T16:17:19Z",
"last_behavior": "2021-01-12T16:17:19Z",
"max_confidence": 80,
"max_severity": 70,
"max_severity_displayname": "High",
"show_in_ui": true,
"status": "new",
"hostinfo": {
"domain": ""
},
"seconds_to_triaged": 0,
"seconds_to_resolved": 0,
}
CrowdStrike Falcon Streaming Events 连接器
CrowdStrike Falcon Streaming Events 连接器可应对以下用例：
检测事件数据注入。
CrowdStrike Falcon 检测到有人尝试在端点上执行恶意
SophosCleanM.exe文件。CrowdStrike 会停止该操作，并在事件数据中创建包含文件哈希的提醒。一位分析师对文件信誉感兴趣，在 VirusTotal 中运行发现的哈希值，并发现某个哈希值是恶意的。接下来，McAfee EDR 操作会隔离恶意文件。
用户活动审核事件数据注入。
CrowdStrike 用户 Dani 将检测状态从
new更新为false-positive。此用户操作会创建一个名为 detection_update 的事件。分析师会进行跟进，了解 Dani 为何将该操作标记为假正例，并检查包含 Dani 身份信息的注入事件。
接下来，分析师运行 Active Directory 丰富实体操作，以获取有关突发事件的更多详细信息，并简化对 Dani 的跟踪。
Auth 活动审核事件数据注入。
事件表明 Dani 创建了一个新用户账号并向其授予了用户角色。
为了调查该事件并了解创建该用户的原因，分析师使用 Dani 的用户 ID 运行 Active Directory 丰富实体操作，并找出 Dani 的用户角色，以确认他们是否有权添加新用户。
远程响应结束事件数据注入。
远程事件表明，Dani 与特定主机建立了远程连接，并以根用户身份执行了命令，以访问 Web 服务器目录。
为了详细了解 Dani 和所涉及的主机，分析师运行了 Active Directory 操作，以丰富用户和主机的信息。根据返回的信息，分析师可能会决定暂停 Dani 的账号，直到远程连接的目的明确为止。
连接器输入
CrowdStrike Falcon Streaming Event Connector 需要以下参数：
| 参数 | |
|---|---|
Product Field Name |
必需
包含 默认值为 |
Event Field Name |
必需
包含 默认值为 |
Environment Field Name |
可选
存储环境名称的字段的名称。 如果未找到环境字段，则使用默认环境。 默认值为 |
Environment Regex Pattern |
可选
要对 使用默认值 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。 |
Alert Name Template |
可选
如果提供，连接器会将此值用作 Google SecOps 提醒名称。 您可以采用以下格式提供占位符：[ 注意：如果您未提供任何值或提供了无效模板，则连接器会使用默认提醒名称。连接器会将第一个 Google SecOps 事件用于占位符。此参数仅允许使用具有字符串值的键。 |
API Root |
必需
CrowdStrike 实例的 API 根。 默认值为 |
Client ID |
必需
CrowdStrike 账号的客户端 ID。 |
Client Secret |
必需
CrowdStrike 账号的客户端密钥。 |
Event types |
可选
以逗号分隔列表形式的事件类型。 事件类型的示例如下：
|
Max Days Backwards |
可选
从今天之前的多少天开始检索检测结果。 默认值为 |
Max Events Per Cycle |
可选
在单次连接器迭代中要处理的事件数量。 默认值为 |
Min Severity |
可选 要根据事件严重程度（检测事件）注入的事件。此值的范围为 0 到 5。 如果除了检测之外还提取了其他事件类型，则其严重级别会设置为 |
Disable Overflow |
可选 如果选中此选项，连接器会忽略溢出机制。 默认情况下不选择。 |
Verify SSL |
必需
如果选中此选项，集成会验证与 CrowdStrike 服务器的连接所使用的 SSL 证书是否有效。 默认情况下不选择。 |
Script Timeout (Seconds) |
必需 运行当前脚本的 Python 进程的超时限制。 默认值为 60 秒。 |
Proxy Server Address |
可选
要使用的代理服务器的地址。 |
Proxy Username |
可选
用于进行身份验证的代理用户名。 |
Proxy Password |
可选
用于进行身份验证的代理密码。 |
Rule Generator Template |
可选
如果提供，连接器会将此值用于 Google SecOps 规则生成器。 您可以采用以下格式提供占位符：[ 如果您未提供值或提供了无效模板，连接器将使用默认规则生成器。 连接器会将第一个 Google SecOps 事件用于占位符。 此参数仅允许使用具有字符串值的键。 |
Customer ID |
可选 要在其中执行连接器的租户的客户 ID。适用于多租户 (MSSP) 环境。 |
连接器规则
此连接器支持代理。
此连接器不支持动态列表。
CrowdStrike Identity Protection Detections 连接器
使用 CrowdStrike Identity Protection Detections Connector 从 CrowdStrike 中拉取身份保护检测结果。动态列表与 display_name 参数搭配使用。
此连接器需要 Identity Protection 许可。
连接器输入
CrowdStrike Identity Protection Detections 连接器需要以下参数：
| 参数 | |
|---|---|
Product Field Name |
必需
包含 默认值为 |
Event Field Name |
必需
包含 默认值为 |
Environment Field Name |
可选
存储环境名称的字段的名称。 如果未找到环境字段，则使用默认环境。 默认值为 |
Environment Regex Pattern |
可选
要对 使用默认值 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。 |
Script Timeout (Seconds) |
必需 运行当前脚本的 Python 进程的超时限制（以秒为单位）。 默认值为 |
API Root |
必需
CrowdStrike 实例的 API 根。 默认值为 |
Client ID |
必需
CrowdStrike 账号的客户端 ID。 |
Client Secret |
必需
CrowdStrike 账号的客户端密钥。 |
Lowest Severity Score To Fetch |
可选
要提取的检测结果的最低严重程度得分。 如果未提供任何值，连接器不会应用此过滤条件。 最大值为 默认值为 连接器还支持此参数的以下值：
|
Lowest Confidence Score To Fetch |
可选
要提取的检测结果的最低置信度分数。 如果未提供任何值，连接器不会应用此过滤条件。 最大值为 默认值为 |
Max Hours Backwards |
可选
从当前时间往前推，要检索多少小时内的检测结果。 默认值为 |
Max Detections To Fetch |
可选
在单次连接器迭代中要处理的检测结果数量。 默认值为 |
Case Name Template |
可选
如果提供，连接器会向 Google SecOps 事件添加一个名为 您可以采用以下格式提供占位符：[ 注意：连接器会将第一个 Google SecOps 事件用于占位符。此参数仅允许使用具有字符串值的键。 |
Alert Name Template |
可选
如果提供，连接器会将此值用作 Google SecOps 提醒名称。 您可以采用以下格式提供占位符：[ 注意：如果您未提供任何值或提供了无效模板，则连接器会使用默认提醒名称。连接器会将第一个 Google SecOps 事件用于占位符。此参数仅允许使用具有字符串值的键。 |
Disable Overflow |
可选 如果选中此选项，连接器会忽略溢出机制。 默认情况下不选择。 |
Verify SSL |
必需
如果选中此选项，集成会验证与 CrowdStrike 服务器的连接所使用的 SSL 证书是否有效。 默认情况下不选择。 |
Proxy Server Address |
可选
要使用的代理服务器的地址。 |
Proxy Username |
可选
用于进行身份验证的代理用户名。 |
Proxy Password |
可选
用于进行身份验证的代理密码。 |
Customer ID |
可选 要在其中执行连接器的租户的客户 ID。适用于多租户 (MSSP) 环境。 |
连接器规则
此连接器支持代理。
连接器事件
连接器事件示例如下：
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://example.com/identity-protection/detections/",
"id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.COM",
"source_account_name": "ExampleName",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
已弃用：CrowdStrike Incidents 连接器
使用 CrowdStrike Incidents Connector 从 CrowdStrike 中拉取突发事件和相关行为。
动态列表与 incident_type 参数搭配使用。
连接器参数
CrowdStrike Incidents Connector 需要以下参数：
| 参数 | 说明 |
|---|---|
Product Field Name |
必填。 包含Product Field 名称的来源字段名称。默认值为 |
Event Field Name |
必填。 包含Event Field 名称的来源字段名称。默认值为 |
Environment Field Name |
可选。 存储环境名称的字段的名称。如果未找到，则使用默认环境。默认值为 |
Environment Regex Pattern |
可选。 用于操纵环境字段值的正则表达式模式。使用默认的 |
Script Timeout (Seconds) |
必填。 Python 进程的超时限制。默认值为 |
API Root |
必填。 CrowdStrike 实例的 API 根。默认值为 |
Client ID |
必填。 CrowdStrike 账号的客户端 ID。 |
Client Secret |
必填。 CrowdStrike 账号的客户端密钥。 |
Lowest Severity Score To Fetch |
可选。 要提取的突发事件的最低严重程度得分。支持Low、Medium、High、Critical 或最大为 100 的数值。 |
Max Hours Backwards |
可选。 检索回溯期（以小时为单位）。默认值为 |
Max Incidents To Fetch |
可选。 每次迭代的突发事件数量。最大值为100。
默认值为 |
Use dynamic list as a blocklist |
必填。 如果选中，动态列表将充当屏蔽名单。 |
Disable Overflow |
可选。 如果选中，则忽略溢出机制。 |
Verify SSL |
必填。 验证连接的 SSL 证书。 |
Proxy Parameters |
可选。 包含Proxy Server Address、Proxy Username 和 Proxy Password。 |
Customer ID |
可选。 多租户 (MSSP) 环境的租户 ID。 |
连接器规则
此连接器支持代理。
连接器事件
该连接器支持两种事件类型：基于突发事件和基于行为。
示例：基于突发事件的事件
{
"data_type": "Incident",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"incident_type": 1,
"cid": "123456789abcdef123456789abcdef12",
"state": "closed",
"tactics": ["Defense Evasion", "Privilege Escalation"],
"fine_score": 21
}
示例：基于行为的事件
{
"behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
"incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
"timestamp": "2023-01-09T11:24:25Z",
"tactic": "Privilege Escalation",
"technique": "Bypass User Account Control"
}
CrowdStrike – 提醒连接器
使用 CrowdStrike – Alerts Connector 从 CrowdStrike 提取提醒。动态列表与 display_name 参数搭配使用。
如需提取身份保护检测结果，请使用身份保护检测结果连接器。
连接器输入
CrowdStrike - Alerts Connector 需要以下参数：
| 参数 | |
|---|---|
Product Field Name |
必需
包含 默认值为 |
Event Field Name |
必需
包含 默认值为 |
Environment Field Name |
可选
存储环境名称的字段的名称。 如果未找到环境字段，则使用默认环境。 默认值为 |
Environment Regex Pattern |
可选
要对 使用默认值 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。 |
Script Timeout (Seconds) |
必需 运行当前脚本的 Python 进程的超时限制（以秒为单位）。 默认值为 |
API Root |
必需
CrowdStrike 实例的 API 根。 默认值为 |
Client ID |
必需
CrowdStrike 账号的客户端 ID。 |
Client Secret |
必需
CrowdStrike 账号的客户端密钥。 |
Case Name Template |
可选
如果提供，连接器会向 Google SecOps 事件添加一个名为 您可以采用以下格式提供占位符：[ 注意：连接器会将第一个 Google SecOps 事件用于占位符。此参数仅允许使用具有字符串值的键。 |
Alert Name Template |
可选
如果提供，连接器会将此值用作 Google SecOps 提醒名称。 您可以采用以下格式提供占位符：[ 注意：如果您未提供任何值或提供了无效模板，则连接器会使用默认提醒名称。连接器会将第一个 Google SecOps 事件用于占位符。此参数仅允许使用具有字符串值的键。 |
Lowest Severity Score To Fetch |
可选
要提取的突发事件的最低严重程度得分。 如果未提供任何值，连接器会注入所有严重级别的突发事件。 最大值为
在 CrowdStrike 界面中，相同的值会除以 10。 |
Max Hours Backwards |
可选
从当前时间往前推，要检索多少小时内的突发事件。 默认值为 |
Max Alerts To Fetch |
可选
在单次连接器迭代中要处理的提醒数量。 最大值为 默认值为 |
Use dynamic list as a blocklist |
必需
如果选中，连接器会将动态列表用作屏蔽名单。 默认情况下不选择。 |
Disable Overflow |
可选 如果选中此选项，连接器会忽略溢出机制。 默认情况下不选择。 |
Verify SSL |
必需
如果选中此选项，集成会验证与 CrowdStrike 服务器的连接所使用的 SSL 证书是否有效。 默认情况下不选择。 |
Proxy Server Address |
可选
要使用的代理服务器的地址。 |
Proxy Username |
可选
用于进行身份验证的代理用户名。 |
Proxy Password |
可选
用于进行身份验证的代理密码。 |
Customer ID |
可选 要在其中执行连接器的租户的客户 ID。适用于多租户 (MSSP) 环境。 |
连接器规则
此连接器支持代理。
连接器事件
基于提醒的事件示例如下：
{
"added_privileges": [
"DomainAdminsRole"
],
"aggregate_id": "aggind:123456789abcdef123456789abcdef12",
"cid": "123456789abcdef123456789abcdef12",
"composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
"confidence": 20,
"context_timestamp": "2022-11-15T12:58:13.155Z",
"crawl_edge_ids": {
"Sensor": [
"N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
"XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
"N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
]
},
"crawl_vertex_ids": {
"Sensor": [
"uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
"ind:123456789abcdef123456789abcdef12",
"aggind:123456789abcdef123456789abcdef12",
"idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
]
},
"crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
"created_timestamp": "2022-11-15T12:59:15.444106807Z",
"description": "A user received new privileges",
"display_name": "Privilege escalation (user)",
"end_time": "2022-11-15T12:58:13.155Z",
"falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
"id": "ind:123456789abcdef123456789abcdef12",
"name": "IdpEntityPrivilegeEscalationUser",
"objective": "Gain Access",
"pattern_id": 51113,
"previous_privileges": "0",
"privileges": "8321",
"product": "idp",
"scenario": "privilege_escalation",
"severity": 2,
"show_in_ui": true,
"source_account_domain": "EXAMPLE.EXAMPLE",
"source_account_name": "ExampleMailbox",
"source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
"start_time": "2022-11-15T12:58:13.155Z",
"status": "new",
"tactic": "Privilege Escalation",
"tactic_id": "TA0004",
"technique": "Valid Accounts",
"technique_id": "T1078",
"timestamp": "2022-11-15T12:58:15.397Z",
"type": "idp-user-endpoint-app-info",
"updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}
作业
Crowdstrike Falcon - 同步提醒
使用 Crowdstrike Falcon - Sync Alerts 作业在 Google SecOps 和 Crowdstrike 之间双向同步评论和状态。
工作要求
为确保作业识别并同步正确的数据，必须满足以下条件：
Google SecOps 案例必须包含
Crowdstrike Alert标记。如果提醒并非来自提醒连接器或身份保护检测连接器，您必须为作业添加
Alert_ID提醒上下文值，以识别正确的 Crowdstrike 记录。
操作逻辑
该作业分两个阶段同步数据。第一阶段会将 Crowdstrike 数据同步到 Google SecOps 提醒。第二阶段会将 Google SecOps 提醒数据同步到 Crowdstrike 提醒。
该作业在初始迭代中使用 Max Hours Backwards。对于所有后续请求，作业都会使用上次处理的提醒的 start_time。
评论同步逻辑
该作业使用 last_update_time 过滤评论并防止重复条目。同步评论使用以下结构：
由 Crowdstrike 发送：
Crowdstrike {ticket_id}: {comment}从 Google SecOps 发送：
Google SecOps {case_id}: {comment}
Google SecOps 案例关闭评论也会作为评论同步到 Crowdstrike。
状态和判定映射
在 Google SecOps 中关闭提醒后，作业会将相应的 Crowdstrike 提醒更新为状态 Closed。该作业还会对分析师判定结果应用以下映射：
如果关闭原因为
Malicious，则 Crowdstrike 判定会设置为True Positive。如果关闭原因为
Not Malicious，则 Crowdstrike 判定会设置为False Positive。对于所有其他关闭原因，状态会设置为
Closed，不提供判定结果。
作业参数
Crowdstrike Falcon - Sync Alerts 作业需要以下参数：
| 参数 | 说明 |
|---|---|
Environment Name |
必填。 作业在其中搜索提醒的环境的名称。 默认值为 |
API Root |
必填。 Crowdstrike 实例的 API 根。 默认值为 |
Client ID |
必填。 Crowdstrike 账号的客户端 ID。 |
Client Secret |
必填。 Crowdstrike 账号的客户端密钥。 |
Max Hours Backwards |
必填。 在第一个作业迭代期间，同步当前时间之前多少小时内的提醒。 默认值为 |
Verify SSL |
必填。 如果选中此选项，集成会在连接到 Crowdstrike 服务器时验证 SSL 证书。 默认处于启用状态。 |
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。