整合 CrowdStrike Falcon 與 Google SecOps

本文說明如何整合 CrowdStrike Falcon 與 Google Security Operations。

這項整合功能使用一或多個開放原始碼元件。 您可以從 Cloud Storage bucket 下載這項整合的完整原始碼副本。

用途

在 Google SecOps 平台中，CrowdStrike Falcon 整合功能可解決下列用途：

  • 自動遏止惡意軟體：運用 Google SecOps 平台的功能，自動隔離受影響的端點、擷取檔案雜湊以供進一步分析，並防止惡意軟體擴散。當網路釣魚電子郵件觸發 CrowdStrike Falcon 針對可疑檔案下載發出的快訊時，系統就會啟動自動惡意軟體遏制功能。

  • 加快事件應變速度：使用 Google SecOps 收集程序樹狀結構和網路連線等情境資料、隔離遭入侵的主機，並建立調查單。

  • 威脅搜尋和調查：使用 Google SecOps 平台的功能，在指定時間範圍內查詢 CrowdStrike Falcon 的特定使用者動作、檔案修改和網路連線。資安分析師可透過威脅搜索和調查功能，調查潛在的內部威脅，並分析歷來端點活動，同時簡化調查程序。

  • 網路釣魚回應和修復：使用 CrowdStrike Falcon 和 Google SecOps 平台掃描電子郵件附件、在沙箱環境中開啟附件，並在偵測到惡意活動時自動封鎖寄件者的電子郵件地址。

  • 安全漏洞管理：運用 Google SecOps 平台的功能，自動為每個有安全漏洞的系統建立工單，根據嚴重程度和資產價值設定優先順序，並觸發自動修補工作流程。安全漏洞管理功能可協助您找出多個端點的重大安全漏洞。

事前準備

在 Google SecOps 中設定整合功能前，請先完成下列步驟：

  1. 設定 CrowdStrike Falcon API 用戶端。

  2. 設定動作權限。

  3. 設定連接器權限。

設定 CrowdStrike Falcon API 用戶端

如要定義 CrowdStrike API 用戶端，以及查看、建立或修改 API 用戶端或金鑰，您必須具備 FalconAdministrator 角色。

只有在建立或重設 API 用戶端時，系統才會顯示密鑰。

如要設定 CrowdStrike Falcon API 用戶端，請完成下列步驟：

  1. 在 Falcon 使用者介面中，依序前往「Support and resources」>「Resources and tools」>「API clients and keys」。您可以在這個頁面中找到現有用戶端、新增 API 用戶端，或查看稽核記錄。
  2. 按一下「建立 API 用戶端」。
  3. 為新的 API 用戶端命名。
  4. 選取適當的 API 範圍。

  5. 點選「建立」。系統會顯示「用戶端 ID」和「用戶端密鑰」值。

    這是您唯一能看到用戶端密鑰值的機會。請務必妥善保管。如果遺失用戶端密碼，請重設 API 用戶端，並使用新憑證更新所有依賴用戶端密碼的應用程式。

如要進一步瞭解如何存取 CrowdStrike API，請參閱 CrowdStrike 網誌的「Getting Access to the CrowdStrike API」(取得 CrowdStrike API 的存取權) 指南。

設定動作權限

請參閱下表，瞭解各項動作所需的最低權限：

動作 所需權限
在偵測項目中新增註解 Detections.Read
Detection.Write
新增 Identity Protection 偵測註解 Alerts.Read
Alerts.Write
新增事件註解 Incidents.Write
Close Detection Detections.Read
Detection.Write
遏止端點 Hosts.Read
Hosts.Write
刪除 IOC IOC Management.Read
IOC Management.Write
下載檔案 Hosts.Read
Real time response.Read
Real time response.Write
執行指令 Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write*，才能執行完整權限指令。
取得活動偏移 Event streams.Read
依 IOC 取得主機 不適用：已淘汰
取得主機資訊 Hosts.Read
依 IOC 取得程序名稱 不適用：已淘汰
Lift Contained Endpoint Hosts.Read
Hosts.Write
列出主機 Hosts.Read
列出主機安全漏洞 Hosts.Read
Spotlight vulnerabilities.Read
列出已上傳的 IOC IOC Management.Read
隨選掃描 On-demand scans (ODS).Read
On-demand scans (ODS).Write
Ping Hosts.Read
提交檔案 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
提交網址 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
更新偵測 Detections.Read
Detection.Write
User management.Read
更新 Identity Protection 偵測機制 Alerts.Read
Alerts.Write
更新事件 Incidents.Write
更新 IOC 資訊 IOC Management.Read
IOC Management.Write
上傳 IOC IOC Management.Read
IOC Management.Write

設定連接器權限

請參閱下表，瞭解連接器的最低權限：

連接器 所需權限
CrowdStrike Detections 連接器 Detection.Read
CrowdStrike Falcon 串流事件連接器 Event streams.Read
CrowdStrike Identity Protection Detections 連接器 Alerts.Read
CrowdStrike 事件連接器 Incidents.Read

端點

CrowdStrike Falcon 整合功能會與下列 CrowdStrike Falcon API 端點互動：

一般 API 端點：

  • /oauth2/token

主機和裝置：

  • /devices/entities/devices/v1
  • /devices/entities/devices-actions/v2

偵測和事件：

  • /detections/entities/detections/v2
  • /detections/entities/summaries/GET/v1
  • /protection/entities/detections/v1

入侵指標 (IOC)：

  • /intel/entities/indicators/v1
  • /intel/queries/devices/v1

安全漏洞：

  • /devices/combined/devices/vulnerabilities/v1

回應與壓制：

  • /respond/entities/command-queues/v1
  • /respond/entities/extracted-files/v1

事件：

  • /incidents/entities/incidents/GET/v1
  • /incidents/entities/incidents/comments/GET/v1
  • /incidents/entities/incidents/GET/v1

檔案和網址分析：

  • /malware-uploads/entities/submissions/v2
  • /url/entities/scans/v1

整合參數

如要讓整合功能正常運作，必須使用功能完整的 CrowdStrike Falcon 進階版。CrowdStrike Falcon 基本版不支援某些動作。

整合 CrowdStrike Falcon 時，需要下列參數：

參數
API Root

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com
Client API ID 必要

CrowdStrike API 的用戶端 ID。
Client API Secret 必要

CrowdStrike API 的用戶端密鑰。
Verify SSL

如果選取這個選項，整合服務會驗證連線至 CrowdStrike Falcon 伺服器的 SSL 憑證是否有效。

預設為未選取。
Customer ID 選用

要執行整合作業的房客客戶 ID。適用於多租戶 (MSSP) 環境。

請參閱這篇說明文章，瞭解在 Google SecOps 中設定整合功能的詳細操作說明。

如有需要，您稍後可以變更。設定整合執行個體後，您可以在應對手冊中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

繼續進行整合設定前，請先設定每個整合項目所需的最低權限。詳情請參閱本文的「動作權限」一節。

新增快訊註解

使用「Add Alert Comment」(新增快訊註解) 動作，在 CrowdStrike Falcon 中為快訊新增註解。

這項動作不會在實體上執行。

動作輸入內容

「新增快訊註解」動作需要下列參數：

參數
Alert 必要

要更新的快訊 ID。
Comment 必要

要新增至快訊的註解。

動作輸出內容

「新增快訊註解」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「新增快訊註解」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike 動作成功。

Error executing action "Add Alert Comment". Reason: ERROR_REASON

Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「新增快訊註解」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

新增偵測註解 - 已淘汰

使用「Add Comment to Detection」(在偵測項目中新增註解) 動作，在 CrowdStrike Falcon 中為偵測項目新增註解。

這項操作會對所有實體執行。

動作輸入內容

「Add Comment to Detection」(在偵測結果中新增留言) 動作需要下列參數：

參數 說明
Detection ID

必填。

要新增註解的偵測 ID。
Comment

必填。

要新增至偵測結果的註解。

動作輸出內容

「Add Comment to Detection」(在偵測結果中新增註解) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「Add Comment to Detection」(在偵測結果中新增註解) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增 Identity Protection 偵測註解

使用「Add Identity Protection Detection Comment」(新增身分保護偵測註解) 動作，在 CrowdStrike 中為身分保護偵測新增註解。

您必須具備 Identity Protection 授權，才能執行這項操作。

這項動作不會在實體上執行。

動作輸入內容

「Add Identity Protection Detection Comment」(新增 Identity Protection 偵測註解) 動作需要下列參數：

參數
Detection ID 必要

要更新的偵測 ID。
Comment 必要

要新增至偵測結果的註解。

動作輸出內容

「Add Identity Protection Detection Comment」(新增 Identity Protection 偵測註解) 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「Add Identity Protection Detection Comment」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike 動作成功。
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

檢查拼字。
指令碼結果

下表說明使用「新增身分保護偵測註解」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

新增事件註解 - 已淘汰

使用「新增事件註解」動作，在 CrowdStrike 中為事件新增註解。

這項動作不會在實體上執行。

動作輸入內容

「新增事件註解」動作需要下列參數：

參數 說明
Incident ID

必填。

要更新的事件 ID。
Comment

必填。

要新增至事件的註解。

動作輸出內容

「新增事件註解」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「新增事件註解」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the incident INCIDENT_ID in CrowdStrike 動作成功。
Error executing action "Add Incident Comment". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

檢查拼字。
指令碼結果

下表說明使用「新增事件註解」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

Close Detection - Deprecated

使用「Close Detection」動作關閉 CrowdStrike Falcon 偵測。

這項操作會對所有實體執行。

動作輸入內容

「Close Detection」動作需要下列參數：

參數 說明
Detection ID

必填。

要關閉的偵測 ID。
Hide Detection

選填。

選取後，系統會在使用者介面中隱藏偵測結果。

(此為預設選項)。

動作輸出內容

「Close Detection」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用「Close Detection」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

遏止端點

使用「Contain Endpoint」動作，在 CrowdStrike Falcon 中隔離端點。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「Contain Endpoint」(包含端點) 動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Fail If Timeout 選填

如果選取這個選項，但並未包含所有端點，動作就會失敗。

(此為預設選項)。

動作輸出內容

「遏止端點」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充資料表 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
實體充實

「包含端點」動作支援下列實體擴充邏輯：

補充資料欄位 邏輯
status 如果 JSON 結果中存在，則傳回
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
policies 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
device_policies 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「包含端點」動作時收到的 JSON 結果輸出內容：

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}
輸出訊息

「Contain Endpoint」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Contain Endpoint". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID

動作失敗。

檢查端點狀態和 Fail If Timeout 參數值。
指令碼結果

下表說明使用「Contain Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除 IOC

使用「Delete IOC」(刪除 IOC) 動作，刪除 CrowdStrike Falcon 中的自訂 IOC。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「刪除 IOC」動作會在下列實體上執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

無

動作輸出內容

「刪除 IOC」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
指令碼結果

下表說明使用「刪除 IOC」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False
輸出訊息

在案件牆上，「刪除 IOC」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID

All of the provided IOCs were not a part of CrowdStrike Falcon instance.

 動作成功。
Error executing action "Delete IOC". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。

下載檔案

使用「下載檔案」動作，從 CrowdStrike Falcon 中的主機下載檔案。

執行這項操作時，Google SecOps 快訊的範圍必須包含檔案名稱和 IP 位址，或主機名稱實體。

下載的檔案會以受密碼保護的 ZIP 檔案包形式提供。如要存取檔案，請輸入下列密碼：infected。

「下載檔案」動作會在下列實體上執行：

  • 檔案名稱
  • IP 位址
  • 主機

動作輸入內容

「下載檔案」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Download Folder Path 必要

儲存下載檔案的資料夾路徑。

格式取決於您的部署方式：

  • SaaS 部署：路徑位於代管平台內部。
  • 遠端部署：路徑必須是安裝遠端代理程式的本機上，有效且絕對的目錄路徑 (例如 Windows 的 C:\temp\download 或 Linux 的 /var/tmp/download/)。
Overwrite 必要

如果選取這個選項，系統會覆寫名稱相同的檔案。

預設為未選取。

動作輸出內容

「下載檔案」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體表格 可用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
實體表格

「下載檔案」動作提供下列實體表格：

實體
filepath 檔案的絕對路徑。
JSON 結果

下列範例說明使用「下載檔案」動作時收到的 JSON 結果輸出內容：

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}
輸出訊息

「下載檔案」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Download File". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.

動作失敗。

檢查 Overwrite 參數值或刪除檔案。
Waiting for results for the following entities: ENTITY_ID 非同步訊息。
指令碼結果

下表說明使用「下載檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

執行指令

使用「執行指令」動作，在 CrowdStrike Falcon 中的主機上執行指令。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「執行指令」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Command 必要

指定要在主機上執行的指令。
Admin Command 選填

如果選取，動作會以管理員權限執行指令。特定指令 (例如 put) 需要這項設定。

預設為未選取。
Hostname 選填

以半形逗號分隔的主機名稱清單，您要在這些主機上執行動作。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Queue Offline 選填

如果選取這個選項，系統會將以離線主機為目標的指令加入佇列，並在主機重新連上網路後執行。

預設為未選取。

動作輸出內容

「執行指令」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

在案件牆上，「執行指令」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID 動作成功。
Error executing action "Execute Command". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Waiting for results for the following entities: ENTITY_ID 非同步訊息。
指令碼結果

下表說明使用「執行指令」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得快訊詳細資料

使用「Get Alert Details」動作，擷取 CrowdStrike Falcon 中快訊的詳細資料。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得快訊詳細資料」動作需要下列參數：

參數 說明
Alert ID

必填。

要擷取詳細資料的警示專屬 ID。

動作輸出內容

「取得快訊詳細資料」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「取得快訊詳細資料」動作時收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "analyst@example.com",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

「取得快訊詳細資料」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.

 動作成功。
Error executing action "Get Alert Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得快訊詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得活動偏移

使用「Get Event Offset」動作，擷取「Streaming Events Connector」使用的事件偏移。

這項動作會開始處理 30 天前的事件。

這項動作不會在實體上執行。

動作輸入內容

「取得事件偏移」動作需要下列參數：

參數
Max Events To Process 必要

動作需要處理的事件數量 (從 30 天前開始計算)。

預設值為 10000。

動作輸出內容

「取得事件偏移」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「取得事件偏移」動作時收到的 JSON 結果輸出內容：

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
輸出訊息

「取得事件偏移」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully retrieved event offset in CrowdStrike Falcon. 動作成功。
Error executing action "Get Event Offset". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「取得事件偏移」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得主機資訊

使用「Get Host Information」動作，從 CrowdStrike Falcon 擷取主機名稱相關資訊。

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址

動作輸入內容

「取得主機資訊」動作需要下列參數：

參數
Hostname 選填

以半形逗號分隔的主機名稱清單，用於在 CrowdStrike Falcon 中隱藏主機名稱。這項動作會處理這個參數中提供的輸入值，以及附加至案件的主機名稱和 IP 位址實體。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Customer ID 選填

用於指定特定租戶的專屬 CrowdStrike 客戶 ID (CID)。在 Falcon Flight Control 或多租戶環境中，如要對特定子項 CID 執行動作，就必須使用這個參數。

動作輸出內容

「取得主機資訊」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充資料表 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
實體充實

「取得主機資訊」動作支援下列實體擴充邏輯：

補充資料欄位 邏輯
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
site_name 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
status 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
machine_domain 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「取得主機資訊」動作時收到的 JSON 結果輸出內容：

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]
輸出訊息

「Get Host Information」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID

Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID

 動作成功。
Error executing action "Get Host Information". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「取得主機資訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

依 IOC 取得主機 - 已淘汰

列出 CrowdStrike Falcon 中與 IOC 相關的主機。支援的實體： 主機名稱、網址、IP 位址和雜湊。
注意：主機名稱實體會視為網域 IOC。這項動作會從網址中擷取網域部分，且僅支援 MD5 和 SHA-256 雜湊。

實體

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

不適用

動作輸出內容

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
實體充實
補充資料欄位 邏輯
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
site_name 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
主機名稱 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
狀態 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
machine_domain 如果 JSON 結果中存在，則傳回
Device_policies 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
政策 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
實體洞察

不適用

案件總覽
結果類型 值 / 說明 類型
輸出訊息* 這項動作不應失敗，也不應停止劇本執行：
如果成功，且找到至少一個與提供的 IOC 相關的主機 (is_success=true)：「Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon.」(已成功在 CrowdStrike Falcon 中擷取與提供的 IOC 相關的主機)。
如果找不到相關主機 (is_success=false)：「CrowdStrike Falcon 中沒有與所提供 IOC 相關的主機。」
動作應會失敗並停止執行劇本：
如果系統回報重大錯誤：「執行動作『{動作名稱}』時發生錯誤。原因：{traceback}。」		 一般

依 IOC 取得程序名稱 - 已淘汰

在 CrowdStrike Falcon 中，擷取與 IOC 和所提供裝置相關的程序。支援的實體：主機名稱、網址、IP 位址和雜湊。
注意：主機名稱實體會視為網域 IOC。這項動作會從網址中擷取網域部分，且僅支援 MD5、SHA-1 和 SHA-256 雜湊。IP 位址實體會視為 IOC。

參數

參數名稱 類型 預設值 為必填項目 說明
裝置名稱 11 不適用 是 以半形逗號分隔的清單，指定要擷取與實體相關程序資訊的裝置。

執行時間

這項動作會對下列實體執行：

  • 主機名稱
  • 網址
  • 雜湊

動作執行結果

指令碼執行結果
指令碼結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
實體擴充
補充資料欄位名稱 邏輯 - 應用時機
程序名稱 如果 JSON 結果中存在，則傳回
指標 如果 JSON 結果中存在，則傳回
主機名稱 如果 JSON 結果中存在，則傳回
實體洞察

不適用

案件總覽
結果類型 值 / 說明 類型
輸出訊息* 動作不應失敗或停止劇本執行：
如果至少有一個端點找到與實體相關的程序 (is_success=true)：「Successfully retrieved processes related to the IOCs on the following endpoints in CrowdStrike Falcon: {device name}.」(已成功從 CrowdStrike Falcon 中，擷取下列端點上與 IOC 相關的程序：{裝置名稱})。
如果至少有一個端點找不到任何程序，或找不到裝置 (is_success=true)：「No related processes were found on the following endpoints in CrowdStrike Falcon: {device name}.」(在 CrowdStrike Falcon 的下列端點中，找不到相關程序：{裝置名稱}。)
如果 找不到所有端點的任何程序，或找不到任何裝置 (is_success=false)：「No related processes were found on the provided endpoints in CrowdStrike Falcon.
動作應會失敗並停止執行劇本：
如果系統回報重大錯誤： 「執行『{動作名稱}』時發生錯誤。 原因：{trace back}。」

隱藏主辦人

使用「隱藏主機」動作，從 CrowdStrike Falcon 控制台隱藏一或多部主機。

這項動作會在下列 Google SecOps 實體上執行：

  • 主機名稱
  • IP 位址

動作輸入內容

「隱藏主機」動作需要下列參數：

參數 說明
Hostname

選填。

以半形逗號分隔的主機名稱清單，用於在 CrowdStrike Falcon 中隱藏主機名稱。

這項動作會處理這個參數中提供的輸入值，以及附加至案件的 Hostname 和 IP Address 實體。
Customer ID

選填。

用於指定特定租戶的專屬 CrowdStrike 客戶 ID (CID)。

在 Falcon Flight Control 或多租戶環境中，如要對特定子項 CID 執行動作，就必須使用這個參數。

動作輸出內容

「隱藏主機」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充資料表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「隱藏主機」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully hid the following hosts in Crowdstrike: HOSTS.

Action wasn't able to hide the following hosts in Crowdstrike: HOSTS.

None of the provided hosts were hidden.

 動作成功。
Error executing action "Hide Host". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表說明使用「隱藏主機」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

Lift Contained Endpoint

使用「Lift Contained Endpoint」(解除端點隔離) 動作，在 CrowdStrike Falcon 中解除端點隔離。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「Lift Contained Endpoint」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Fail If Timeout 選填

如果選取這個選項，但所有端點都未解除封鎖，則動作會失敗。

(此為預設選項)。

動作輸出內容

「Lift Contained Endpoint」(升起所含端點) 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充資料表 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
實體充實

「Lift Contained Endpoint」(提升所含端點) 動作支援下列實體擴充功能：

補充資料欄位 邏輯
status 如果 JSON 結果中存在，則傳回
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
device_policies 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「Lift Contained Endpoint」(升幅受限端點) 動作時收到的 JSON 結果輸出內容：

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }
輸出訊息

「Lift Contained Endpoint」(升起所含端點) 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

 動作成功。
Waiting for containment lift to finish for the following endpoints: ENTITY_ID 非同步訊息。
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID

動作失敗。

檢查端點狀態和 Fail If Timeout 參數值。
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表說明使用「Lift Contained Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出主機安全漏洞

使用「列出主機安全漏洞」動作，列出 CrowdStrike Falcon 中主機上發現的安全漏洞。

必須具備 Falcon Spotlight 授權和權限，才能執行這項操作。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「列出主機安全漏洞」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Severity Filter 選填

指定以半形逗號分隔的安全性弱點嚴重程度清單。如果未提供任何內容，這項動作會擷取所有相關的安全性漏洞。可能的值：Critical、High、Medium、Low、Unknown。
Create Insight 選填

如果選取這個選項，系統會為每個實體建立洞察，其中包含相關安全漏洞的統計資訊。

(此為預設選項)。
Max Vulnerabilities To Return 選填

指定每個主機要傳回多少個安全漏洞。如果未提供任何資訊，這項動作會處理所有相關的安全性漏洞。

預設值為 100。

動作輸出內容

「列出主機安全漏洞」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件總覽表格

在案件牆上，「List Host Vulnerabilities」(列出主機安全漏洞) 動作會提供下表：

類型：實體

欄：

  • 名稱
  • 分數
  • 嚴重性
  • 狀態
  • 應用程式
  • 有修復措施
JSON 結果

以下範例說明使用「列出主機安全漏洞」動作時收到的 JSON 結果輸出內容：

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}
輸出訊息

「列出主機安全漏洞」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved vulnerabilities for the following hosts: ENTITIES

No vulnerabilities were found for the following hosts: ENTITIES

動作成功。
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.

動作失敗。

檢查 Severity Filter 參數值。
指令碼結果

下表說明使用「列出主機安全漏洞」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出主機

使用「列出主機」動作，列出 CrowdStrike Falcon 中的可用主機。

這項操作會對所有實體執行。

動作輸入內容

「列出主機」動作需要下列參數：

參數
Filter Logic 選填

搜尋主機時要使用的邏輯。

預設值為 Equals。

可能的值如下：
  • Equals
  • Contains
Filter Value 選填

用於主機篩選的值。
Max Hosts To Return 選填

要傳回的主機數量。

預設值為 50。

最大值為 1000。

動作輸出內容

「列出主機」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「列出主機」動作時收到的 JSON 結果輸出內容：

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]
輸出訊息

「列出主機」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved available hosts based on the provided criteria.

No hosts were found for the provided criteria.

 動作成功。
Error executing action "List Hosts". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「列出主機」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出上傳的 IOC

使用「List Uploaded IOCs」(列出已上傳的 IOC) 動作，列出 CrowdStrike Falcon 中可用的自訂 IOC。

這項操作會對所有實體執行。

動作輸入內容

「列出已上傳的 IOC」動作需要下列參數：

參數
IOC Type Filter 選填

以半形逗號分隔的 IOC 類型清單，用於傳回結果。

預設值為 ipv4,ipv6,md5,sha1,sha256,domain。

可能的值如下：
  • ipv4
  • ipv6
  • md5
  • sha1
  • sha256
  • domain
Value Filter Logic 選填

篩選器邏輯的值。

預設值為 Equal。

可能的值如下：
  • Equal
  • Contains

如果設定為 Equal，動作會嘗試在 IOC 中尋找完全相符的項目。
如果設定為 Contains，動作會嘗試尋找包含所選子字串的 IOC。
Value Filter String 選填

要在入侵指標中搜尋的字串。
Max IOCs To Return 選填

要傳回的 IOC 數量。

預設值為 50。

最大值為 500。

動作輸出內容

「列出已上傳的 IOC」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件總覽表格

在案件牆上，「列出已上傳的 IOC」動作會提供下表：

資料欄：

  • 動作
  • 嚴重性
  • 已簽署
  • AV Hits
  • 平台
  • 標記
  • 建立時間
  • 建立者

JSON 結果

以下範例說明使用「列出已上傳的 IOC」動作時收到的 JSON 結果輸出內容：

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "internal@example.com",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "internal@example.com"
        }
輸出訊息

「List Uploaded IOCs」(列出已上傳的 IOC) 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon. 動作成功。
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.

動作失敗。

檢查拼字和 IOC Type Filter 參數值。
指令碼結果

下表說明使用「列出已上傳的 IOC」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

隨選掃描

使用「On-Demand Scan」動作，在 CrowdStrike 中依需求掃描端點。

這項動作只會在 Windows 主機和下列實體上執行：

  • IP 位址
  • 主機名稱

「按需求掃描」動作會以非同步方式執行。視需要調整 Google SecOps IDE 中的指令碼逾時值。

動作輸入內容

「On-Demand Scan」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
File Paths To Scan 必要

以半形逗號分隔的掃描路徑清單。

預設值為 C:\Windows。
File Paths To Exclude From Scan 選填

以半形逗號分隔的掃描排除路徑清單。
Host Group Name 選填

以半形逗號分隔的主機群組名稱清單，用於啟動掃描。

注意：每個主機群組都會建立個別的掃描程序。
Scan Description 選填

掃描的說明。如未提供值，動作會將說明設為 Scan initialized by Chronicle SecOps.
CPU Priority 選填

掃描期間用於基礎主機的 CPU 數量。

可能的值：Up to 1% CPU utilization、Up to 25% CPU utilization、Up to 50% CPU utilization、Up to 75% CPU utilization、Up to 100% CPU utilization。

預設值為 Up to 25% CPU utilization。
Sensor Anti-malware Detection Level 選填

指定感應器的反惡意軟體偵測層級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive。

預設值為 Moderate。
Sensor Anti-malware Prevention Level 選填

指定感應器惡意軟體防護等級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

預設值為 Moderate。
Cloud Anti-malware Detection Level 選填

指定雲端防惡意軟體偵測等級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive。

預設值為 Moderate。
Cloud Anti-malware Prevention Level 選填

指定雲端惡意軟體防範等級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

預設值為 Moderate。
Quarantine Hosts 選填

選取後，系統會在掃描時隔離基礎主機。

預設為未選取。
Create Endpoint Notification 選填

如果選取這個選項，掃描程序會建立端點通知。

(此為預設選項)。
Max Scan Duration 選填

掃描作業的執行時數。如果未提供任何值，掃描作業會持續執行。

預設值為 1。
Hostname 選填

以半形逗號分隔的主機名稱清單，您要在這些主機上執行動作。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。

動作輸出內容

「按需求掃描」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「隨選掃描」動作時收到的 JSON 結果輸出內容：

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}
輸出訊息

「按需求掃描」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES

Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances.

None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created.

Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS

The following host groups were not found in CrowdStrike: HOST_GROUPS

None of the provided host groups were found in CrowdStrike.

Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS

動作成功。

Error executing action "On-Demand Scan". Reason: ERROR_REASON

Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「隨選掃描」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

Ping

使用「Ping」動作測試與 CrowdStrike Falcon 的連線。

這項操作會對所有實體執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
指令碼結果 可用
指令碼結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

執行指令碼

使用「執行指令碼」動作，在 CrowdStrike 中的端點上執行 PowerShell 指令碼。

這項動作是非同步作業。如有需要，請在 Google SecOps IDE 中調整指令碼逾時值。

這項操作會對 IP 位址和主機名稱實體執行。

動作輸入內容

「執行指令碼」動作需要下列參數：

參數
Customer ID 選填

指定要執行動作的客戶 ID。
Script Name 選填

要執行的指令碼檔案名稱。

附註：必須提供 Script Name 或 Raw Script。如果兩者都提供，系統會優先採用 Raw Script。
Raw Script 選填

需要在端點執行的原始 PowerShell 指令碼酬載。

附註：必須提供 Script Name 或 Raw Script。如果兩者都提供，系統會優先採用 Raw Script。
Hostname 選填

以半形逗號分隔的主機名稱清單，您要在這些主機上執行動作。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Device ID 選填

要執行動作的裝置 ID 逗號分隔的清單。

注意：系統會對附加至案件的實體和這些參數值執行動作。
Queue Offline 選填

如果選取這個選項，系統會將以離線主機為目標的指令加入佇列，並在主機重新連上網路後執行。

預設為未選取。

動作輸出內容

「執行指令碼」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

在案件總覽上，「執行指令碼」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Script wasn't executed on the provided endpoints in CrowdStrike.

Waiting for the scripts to finish execution on the following endpoints: ENTITIES

 動作成功。

Error executing action "Run Script". Reason: ERROR_REASON

Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「執行指令碼」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋事件

使用這項動作在 CrowdStrike 中搜尋事件。 注意：動作是以非同步方式執行，請視需要調整 Google SecOps IDE 中動作的指令碼逾時值。

這項動作不會在實體上執行。

動作輸入內容

「搜尋事件」動作需要下列參數：

參數
Repository 必要

要搜尋的存放區。

可用的值如下：

  • All
  • Falcon
  • Third Party
  • IT Automation
  • Forensics
Query 必要

需要在 CrowdStrike 中執行的查詢。 注意：請勿在查詢中提供「head」。動作會根據「要傳回的最多結果數」參數提供的值，自動提供這項資訊。
Time Frame 選填

結果的時間範圍。如果選取「自訂」， 還需要提供「開始時間」。

「Last Hour」可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
Start Time 選填

結果的開始時間。如果為「時間範圍」參數選取「自訂」，則這個參數為必填。

格式：ISO 8601。
End Time 選填

查詢要傳回的結果數量。 動作會將「head」附加至提供的查詢。

預設值為 50。上限：1000。

動作輸出內容

「搜尋事件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
輸出訊息

在案件總覽中，「搜尋事件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned results for the query "{query}" in CrowdStrike.


No results were found for the query "{query}" in CrowdStrike


Waiting for the search job to finish...


 動作不得失敗或停止執行應對手冊。

Error executing action "Search Events".

Reason: {0}''.format(error.Stacktrace)


Error executing action "Search Events".

Reason: {0}''.format(message)


Error executing action "Search Events".

Reason: query Job {query id} has expired.

Please decrease the async polling interval.

動作失敗。
指令碼結果

下表說明使用「搜尋事件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

提交檔案

使用「提交檔案」動作，將檔案提交至 CrowdStrike 的沙箱。

這項操作需要 Falcon Sandbox 授權。

這項動作不會在實體上執行。

支援的檔案和封存格式

根據 CrowdStrike 入口網站，沙箱支援下列檔案格式：

支援的檔案格式
.exe、.scr、.pif、 .dll、.com、.cpl 可攜式可執行檔
.doc、.docx、.ppt、 .pps、.pptx、.ppsx、 .xls、.xlsx、.rtf、 .pub Office 文件
.pdf PDF
.apk APK
.jar 可執行的 JAR
.sct Windows 指令碼元件
.lnk Windows 捷徑
.chm Windows 說明
.hta HTML 應用程式
.wsf Windows 指令碼檔案
.js JavaScript
.vbs、.vbe Visual Basic
.swf Shockwave Flash
.pl Perl
.ps1、.psd1、.psm1 Powershell
.svg 可縮放向量圖形
.py Python
.elf Linux ELF 可執行檔
.eml 電子郵件檔案：MIME RFC 822
.msg 電子郵件檔案：Outlook

根據 CrowdStrike 入口網站，沙箱支援下列封存格式：

  • .zip
  • .7z

動作輸入內容

「提交檔案」動作需要下列參數：

參數
File Paths 必要

提交檔案的絕對路徑清單。

格式取決於您的部署方式：

  • SaaS 部署 - 路徑位於代管平台內部。
  • 遠端部署 - 路徑必須是絕對路徑，且是安裝遠端代理程式的本機上有效檔案路徑 (例如 Windows 的 C:\temp\download 或 Linux 的 /var/tmp/download/)。

如需支援的檔案格式清單，請參閱「支援的檔案和封存格式」。
Sandbox Environment 選填

用於分析的沙箱環境。

預設值為 Windows 10, 64-bit。

可能的值如下：
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 選填

要分析的網路環境。

預設值為 Default。

可能的值如下：
  • Default
  • TOR
  • Offline
  • Simulated
Archive Password 選填

處理封存檔時使用的密碼。
Document Password 選填

處理 Adobe 或 Office 檔案時使用的密碼。

密碼長度上限為 32 個字元。
Check Duplicate 選填

如果選取這個動作，系統會檢查檔案是否已提交過，並傳回可用的報告。

驗證期間，動作不會考量 Network Environment 和 Sandbox Environment 參數。

(此為預設選項)。
Comment 選填

要提交的留言。
Confidential Submission 選填

如果選取這個選項，只有客戶帳戶中的使用者才能看到檔案。

預設為未選取。

動作輸出內容

「提交檔案」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
案件總覽表格

在案件牆上，「提交檔案」動作會提供下表：

欄：

  • 結果
  • 名稱
  • 威脅得分
  • 判定結果
  • 標記
輸出訊息

「提交檔案」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following files using CrowdStrike: PATHS

Action wasn't able to return details about the following files using CrowdStrike: PATHS

 動作成功。

Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files.

None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

動作傳回錯誤。

請查看這項動作支援的檔案格式。

Waiting for results for the following files: PATHS 非同步訊息。
Error executing action "Submit File". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

動作失敗。

在 IDE 中延長逾時時間。
指令碼結果

下表說明使用「提交檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

提交網址

使用「提交網址」動作，將網址提交至 CrowdStrike 中的沙箱。

必須具備 Falcon Sandbox 授權，才能執行這項操作。如要查看沙箱支援的檔案格式，請參閱本文的「支援的檔案和封存格式」一節。

這項動作不會在實體上執行。

動作輸入內容

「提交網址」動作需要下列參數：

參數
URLs 必要

要提交的網址。
Sandbox Environment 選填

用於分析的沙箱環境。

預設值為 Windows 10, 64-bit。

可能的值如下：
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 選填

要分析的網路環境。

預設值為 Default。

可能的值如下：
  • Default
  • TOR
  • Offline
  • Simulated
Check Duplicate 選填

如果選取這個選項，系統會檢查網址是否已提交，並傳回可用的報告。

驗證期間，動作不會考量 Network Environment 和 Sandbox Environment 參數。

(此為預設選項)。

動作輸出內容

「提交網址」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「提交網址」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following URLs using CrowdStrike: PATHS

Action wasn't able to return details about the following URLs using CrowdStrike: PATHS

 動作成功。
Waiting for results for the following URLs: PATHS 非同步訊息。
Error executing action "Submit URL". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

動作失敗。

在 IDE 中延長逾時時間。
指令碼結果

下表說明使用「提交網址」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新警告內容

使用「Update Alert」(更新快訊) 動作，更新 CrowdStrike Falcon 中的快訊。

這項動作不會在實體上執行。

動作輸入內容

「更新快訊」動作需要下列參數：

參數
Alert ID 必要

要更新的快訊 ID。
Status 選用

快訊的狀態。

可能的值如下：
  • Closed
  • In Progress
  • New
  • Reopened
Verdict 選用

快訊的判定結果。

可能的值如下：
  • True Positive
  • False Positive
Assign To 選用

要指派快訊的分析師名稱。

如果您提供 Unassign 做為參數值，系統會從快訊中移除指派動作。

即使系統中沒有所提供的使用者，API 仍會接受任何值。

動作輸出內容

「更新快訊」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例說明使用「更新快訊」動作時收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

「更新快訊」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated alert with ID ALERT_ID in CrowdStrike 動作成功。

Error executing action "Update Alert". Reason: ERROR_REASON

Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
指令碼結果

下表說明使用「更新快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新偵測 - 已淘汰

使用「更新偵測」動作，更新 CrowdStrike Falcon 中的偵測結果。

這項操作會對所有實體執行。

動作輸入內容

「更新偵測」動作需要下列參數：

參數 說明
Detection ID

必填。

要更新的偵測 ID。
Status

必填。

偵測狀態。

預設值為 Select One。

可能的值如下：
  • Select One
  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
  • closed
Assign Detection to

選填。

CrowdStrike Falcon 使用者的電子郵件地址，該使用者是偵測結果的指派對象。

動作輸出內容

「更新偵測」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「更新偵測」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. 動作成功。
Error executing action "Update Detection". Reason: ERROR_REASON

動作失敗。

檢查伺服器連線、輸入參數或憑證。
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.

動作失敗。

檢查 Status 和 Assign Detection To 參數的值。
指令碼結果

下表說明使用「更新偵測」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

更新 Identity Protection 偵測機制

使用「Update Identity Protection Detection」更新 CrowdStrike 中的身分保護偵測。

您必須具備 Identity Protection 授權，才能執行這項操作。

這項動作不會在實體上執行。

動作輸入內容

「Update Identity Protection Detection」動作需要下列參數：

參數
Detection ID 必要

要更新的偵測 ID。
Status 選填

偵測狀態。

預設值為 Select One。

可能的值如下：

  • Closed
  • Ignored
  • In Progress
  • New
  • Reopened
  • Select One
Assign to 選填

指派分析師的名稱。

如果提供 Unassign，動作會從偵測結果中移除指派對象。

如果提供的值無效，這項動作不會變更目前的指派對象。

動作輸出內容

「Update Identity Protection Detection」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「更新身分識別保護偵測」動作時收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

在案件牆上，「更新身分保護偵測」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike. 動作成功。
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

檢查拼字。
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.

動作失敗。

檢查 Status 和 Assign to 參數的值。
指令碼結果

下表說明使用「Update Identity Protection Detection」(更新 Identity Protection 偵測) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新事件 - 已淘汰

使用「Update Incident」(更新事件) 動作，更新 CrowdStrike 中的事件。

這項動作不會在實體上執行。

動作輸入內容

「Update Incident」動作需要下列參數：

參數 說明
Incident ID

必填。

要更新的事件 ID。
Status

選填。

事件的狀態。

可能的值如下：

  • Closed
  • In Progress
  • New
  • Reopened
Assign to

選填。

指派分析師的名稱或電子郵件地址。

如果提供 Unassign，動作會從事件中移除指派對象。

如要指定名稱，請提供分析師的名字和姓氏，格式如下： "FIRST_NAME LAST_NAME"

動作輸出內容

「更新事件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「更新事件」動作時收到的 JSON 結果輸出內容：


 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }
輸出訊息

「更新事件」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated incident with ID INCIDENT_ID in CrowdStrike 動作成功。
Error executing action "Update Incident". Reason: ERROR_REASON

動作失敗。

檢查連線、輸入參數或憑證。
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

檢查拼字。
指令碼結果

下表說明使用「更新事件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新 IOC 資訊

使用「Update IOC Information」(更新 IOC 資訊) 動作，更新 CrowdStrike Falcon 中自訂 IOC 的資訊。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「更新 IOC 資訊」動作會在下列實體上執行：

  • 主機名稱
  • 網址
  • IP 位址
  • 雜湊

動作輸入內容

「更新 IOC 資訊」動作需要下列參數：

參數
Description 選填

自訂 IOC 的新說明。
Source 選填

自訂 IOC 的來源。
Expiration days 選填

距離到期日還剩幾天。

這項參數只會影響網址、IP 位址和主機名稱實體。

Detect policy 選填

如果選取這項動作，系統會針對已識別的 IOC 傳送通知。如未選取，動作不會傳送任何通知。

(此為預設選項)。

動作輸出內容

「更新 IOC 資訊」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

下列範例說明使用「更新 IOC 資訊」動作時收到的 JSON 結果輸出內容：

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "internal@example.com",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
輸出訊息

在案件牆上，「更新 IOC 資訊」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID

 動作成功。
Error executing action "Update IOC Information". Reason: ERROR_REASON

動作失敗。

檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表說明使用「更新 IOC 資訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

上傳 IOC

使用「Upload IOCs」(上傳 IOC) 動作，在 CrowdStrike Falcon 中新增自訂 IOC。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「上傳 IOC」動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

「上傳 IOC」動作需要下列參數：

參數
Platform 必要

以半形逗號分隔的 IOC 相關平台清單。

預設值為 Windows,Linux,Mac。

可能的值如下：
  • Windows
  • Linux
  • Mac
Severity 必要

IOC 的嚴重程度。

預設值為 Medium。

可能的值如下：
  • Informational
  • Low
  • Medium
  • High
  • Critical
Comment 選填

內含與 IOC 相關背景資訊的註解。
Host Group Name 必要

主機群組名稱。
Action 選填

上傳 IOC 的動作。

預設值為 Detect。

可能的值如下：

  • Block
  • Detect

Block 值僅適用於 MD5 雜湊。這項動作一律會對所有其他 IOC 類型套用 Detect 政策。
Days To Expire 選填

IOC 到期前的天數。

動作輸出內容

「上傳 IOC」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「上傳 IOC」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID

Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Upload IOCs". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、 輸入參數或憑證。
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.

動作失敗。

檢查 Host Group Name 參數值。
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.

動作失敗。

檢查 Platform 參數值。
指令碼結果

下表說明使用「上傳 IOC」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

請務必為每個 CrowdStrike 連接器設定最低權限。詳情請參閱本文的「連結器權限」一節。

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

CrowdStrike 事件

事件是 Falcon 感應器在主機上收集的資訊片段。 CrowdStrike 中的事件類型有四種：

CrowdStrike 事件類型
驗證活動稽核事件 每次在端點要求、允許或完成授權時，系統都會產生事件。
偵測摘要事件 端點偵測到威脅時產生的事件。
遠端回應工作階段結束事件 端點上遠端工作階段產生的事件。
使用者活動稽核事件 系統會產生事件，監控活躍使用者在端點上執行的活動。

連接器會將事件擷取至 Google SecOps，以建立快訊並使用事件資料擴充案件。您可以選取要擷取到 Google SecOps 的事件：所有事件類型或選取的事件類型。

已淘汰：CrowdStrike 偵測連接器

使用 CrowdStrike Detections Connector 從 CrowdStrike 提取偵測結果。

動態清單適用於 CrowdStrike API 支援的篩選器。

如何使用動態清單

使用動態清單時，請遵守下列建議：

  • 使用 CrowdStrike FQL 語言修改連接器傳送的篩選器。
  • 為每個篩選器在動態清單中提供個別項目。
  • 如要擷取指派給特定分析師的所有偵測結果，請確認該分析師提供下列動態清單項目：
    assigned_to_name:'ANALYST_USER_NAME'

動態清單支援下列參數：

支援的參數 說明
q 在所有中繼資料欄位中進行全文搜尋。
date_updated 最近一次偵測更新的日期。
assigned_to_name 偵測指派對象的使用者名稱 (使用者可理解)。
max_confidence

如果偵測結果有多個相關聯的行為，且信賴水準各不相同，這個欄位會擷取所有行為的最高信心值。

參數值可以是 1 到 100 之間的任何整數。
detection_id 可與其他 API 搭配使用的偵測 ID，例如 Detection Details API 或 Resolve Detection API。
max_severity

如果偵測結果有多個相關聯的行為，且嚴重程度各不相同，這個欄位會擷取所有行為中最高的嚴重程度值。

參數值可以是 1 到 100 之間的任何整數。
max_severity_displayname

UI 中用於判斷偵測嚴重程度的名稱。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
seconds_to_triaged 偵測結果從 new 變更為 in_progress 的所需時間。
seconds_to_resolved 偵測結果從 new 變更為任何已解決狀態 (true_positive、false_positive、ignored 和 closed) 所需的時間。
status

偵測的目前狀態。

可能的值如下：

  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
adversary_ids CrowdStrike Falcon Intelligence 追蹤的攻擊者具有與偵測中歸因行為或指標相關聯的 ID。這些 ID 位於可透過 Detection Details API 存取的偵測中繼資料中。
cid 貴機構的客戶 ID。

連接器輸入內容

CrowdStrike Detections Connector 需要下列參數：

參數 說明
Product Field Name

必填。

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name

必填。

包含 Event Field 名稱的來源欄位名稱。

預設值為 behaviors_technique。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern

選填。

要在 Environment Field Name 欄位中找到的值上執行的規則運算式模式。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。
Script Timeout (Seconds)

必填。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

必填。

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

必填。

CrowdStrike 帳戶的用戶端 ID。
Client Secret

必填。

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch

選填。

要擷取的偵測項目最低嚴重程度分數 (最多 100 分)。

預設值為 50。
Lowest Confidence Score To Fetch

選填。

要擷取的偵測結果最低可信度分數 (最多 100 分)。

預設值為 0。
Max Hours Backwards

選填。

要擷取偵測結果的時數。

預設值為 1。
Max Detections To Fetch

選填。

單一連接器疊代中要處理的偵測次數。

預設值為 10。
Disable Overflow

選填。

如果選取這個選項，連接器會忽略溢位機制。
Verify SSL

必填。

如果選取這個選項，整合服務會驗證 SSL 憑證。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。
Case Name Template

選填。

預留位置格式：[FIELD_NAME ]。
Alert Name Template

選填。

預留位置格式：[FIELD_NAME ]。
Padding Period

選填。

用於填補的時數 (最多 6 小時)。
Include Hidden Alerts

選填。

如果啟用，系統會擷取標示為「隱藏」的快訊。
Fallback Severity

選填。

如果缺少嚴重程度，系統會套用這項值。預設值： 說明文字。
Customer ID

選填。

多用戶 (MSSP) 環境的客戶 ID。

連接器規則

連接器支援 Proxy。

連接器事件

以下是連接器事件的範例：


{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}

CrowdStrike Falcon 串流事件連接器

CrowdStrike Falcon Streaming Events Connector 可解決下列用途：

  1. 擷取偵測事件資料。

    CrowdStrike Falcon 偵測到有人嘗試在端點上執行惡意 SophosCleanM.exe 檔案。CrowdStrike 會停止作業，並在事件資料中建立含有檔案雜湊的快訊。

    對檔案信譽感興趣的分析師在 VirusTotal 中執行已發現的雜湊，並發現雜湊具有惡意。接著，McAfee EDR 動作會隔離惡意檔案。

  2. 擷取使用者活動稽核事件資料。

    CrowdStrike 使用者 Dani 將偵測狀態從 new 更新為 false-positive。這項使用者動作會建立名為「detection_update」detection_update的事件。

    分析師會進行後續查詢，瞭解 Dani 將動作標示為偽陽性的原因，並檢查包含 Dani 身分資訊的擷取事件。

    接下來，分析師會執行 Active Directory Enrich Entities 動作，取得事件的詳細資料，並簡化追蹤 Dani 的程序。

  3. 擷取驗證活動稽核事件資料。

    這項事件表示 Dani 已建立新的使用者帳戶，並授予使用者角色。

    為調查事件並瞭解使用者建立原因，分析師使用 Dani 的使用者 ID 執行 Active Directory 的「Enrich Entities」動作，找出 Dani 的使用者角色，確認他們是否有權新增使用者。

  4. 遠端回應結束事件資料擷取。

    遠端事件指出 Dani 曾遠端連線至特定主機，並以根使用者身分執行指令，存取網頁伺服器目錄。

    如要進一步瞭解 Dani 和相關主機，分析師會執行 Active Directory 動作，同時擴充使用者和主機的資訊。根據傳回的資訊，分析師可能會決定暫停 Dani 的帳戶，直到釐清遠端連線的目的為止。

連接器輸入內容

CrowdStrike Falcon 串流事件連接器需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 device_product。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 Name。
Environment Field Name 選填

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選填

要在 Environment Field Name 欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
Alert Name Template 選填

如果提供這個值，連接器會將其做為 Google SecOps 快訊名稱。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如果您未提供值或提供無效範本，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Event types 選填

以半形逗號分隔的事件類型清單。

事件類型範例如下：

  • DetectionSummaryEvent
  • IncidentSummaryEvent
  • AuthActivityAuditEvent
  • UserActivityAuditEvent
  • RemoteResponseSessionStartEvent
  • RemoteResponseSessionEndEvent
Max Days Backwards 選填

要從今天前幾天擷取偵測結果。

預設值為 3。
Max Events Per Cycle 選填

單一連接器疊代中要處理的事件數量。

預設值為 10。
Min Severity 選用

根據事件嚴重程度擷取的事件 (偵測事件)。值介於 0 到 5 之間。

如果系統擷取偵測以外的事件類型，嚴重程度會設為 -1，且這個篩選器不會套用至這些事件。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取這個選項，整合服務會驗證連線至 CrowdStrike 伺服器的 SSL 憑證是否有效。

預設為未選取。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制。

預設值為 60 秒。
Proxy Server Address 選填

要使用的 Proxy 伺服器位址。
Proxy Username 選填

用於驗證的 Proxy 使用者名稱。
Proxy Password 選填

用於驗證的 Proxy 密碼。
Rule Generator Template 選填

如有提供，連接器會將這個值用於 Google SecOps 規則產生器。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

如果您未提供值或提供無效範本，連接器會使用預設規則產生器。

連接器會使用第一個 Google SecOps 事件做為預留位置。

這個參數只允許使用字串值的鍵。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

這個連接器不支援動態清單。

CrowdStrike Identity Protection Detections 連接器

使用 CrowdStrike Identity Protection Detections Connector，從 CrowdStrike 提取身分保護偵測結果。動態清單適用於 display_name 參數。

這個連接器需要 Identity Protection 授權。

連接器輸入內容

CrowdStrike Identity Protection Detections Connector 需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 behaviors_technique。
Environment Field Name 選填

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選填

要在 Environment Field Name 欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch 選填

要擷取的偵測項目最低嚴重性分數。

如未提供值，連接器不會套用這個篩選器。

最大值為 100。

預設值為 50。

此外，連接器也支援這個參數的下列值：

  • Low
  • Medium
  • High
  • Critical
Lowest Confidence Score To Fetch 選填

要擷取的偵測結果最低可信度分數。

如未提供值，連接器不會套用這個篩選器。

最大值為 100。

預設值為 0。
Max Hours Backwards 選填

要從現在起回溯幾小時，以擷取偵測結果。

預設值為 1。
Max Detections To Fetch 選填

單一連接器疊代中要處理的偵測次數。

預設值為 10。
Case Name Template 選填

如果提供，連接器會將名為 custom_case_name 的新金鑰新增至 Google SecOps 事件。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：連結器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Alert Name Template 選填

如果提供這個值，連接器會將其做為 Google SecOps 快訊名稱。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如果您未提供值或提供無效範本，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取這個選項，整合服務會驗證連線至 CrowdStrike 伺服器的 SSL 憑證是否有效。

預設為未選取。
Proxy Server Address 選填

要使用的 Proxy 伺服器位址。
Proxy Username 選填

用於驗證的 Proxy 使用者名稱。
Proxy Password 選填

用於驗證的 Proxy 密碼。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

連接器事件

以下是連接器事件的範例：

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

已淘汰：CrowdStrike 事件連接器

使用 CrowdStrike Incident Connector 從 CrowdStrike 提取事件和相關行為。

動態清單適用於 incident_type 參數。

連接器參數

CrowdStrike Incident 連接器需要下列參數：

參數 說明
Product Field Name

必填。

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name

必填。

包含 Event Field 名稱的來源欄位名稱。

預設值為 data_type。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。如果找不到，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern

選填。

用於操控環境欄位值的規則運算式模式。

使用預設的 .* 擷取原始值。
Script Timeout (Seconds)

必填。

Python 程序的逾時限制。

預設值為 180。
API Root

必填。

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

必填。

CrowdStrike 帳戶的用戶端 ID。
Client Secret

必填。

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch

選填。

要擷取的事件最低嚴重程度分數。支援 Low、Medium、High、Critical 或最多 100 的數值。
Max Hours Backwards

選填。

以小時為單位的擷取回溯期。

預設值為 1。
Max Incidents To Fetch

選填。

每次疊代的事件數量。最多 100 個。

預設值為 10。
Use dynamic list as a blocklist

必填。

如果選取這個選項，動態清單就會做為封鎖清單。
Disable Overflow

選填。

如果選取這個選項，系統會忽略溢位機制。
Verify SSL

必填。

驗證連線的 SSL 憑證。
Proxy Parameters

選填。

包括 Proxy Server Address、Proxy Username 和 Proxy Password。
Customer ID

選填。

多租戶 (MSSP) 環境的租戶 ID。

連接器規則

這個連接器支援 Proxy。

連接器事件

這個連結器支援兩種事件類型：事件型和行為型。

範例：以事件為準的事件


 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

範例：以行為為依據的事件


 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike - 快訊連接器

使用 CrowdStrike - 快訊連接器從 CrowdStrike 提取快訊。 動態清單適用於 display_name 參數。

如要擷取身分保護偵測結果，請使用 Identity Protection Detections 連接器。

連接器輸入內容

「CrowdStrike - Alerts Connector」需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 product。
Environment Field Name 選填

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選填

要在 Environment Field Name 欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
Script Timeout (Seconds) 必要

Python 程序執行目前指令碼的逾時限制 (以秒為單位)。

預設值為 180。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Case Name Template 選填

如果提供，連接器會將名為 custom_case_name 的新金鑰新增至 Google SecOps 事件。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：連結器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Alert Name Template 選填

如果提供這個值，連接器會將其做為 Google SecOps 快訊名稱。

您可以提供下列格式的預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如果您未提供值或提供無效範本，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Lowest Severity Score To Fetch 選填

要擷取的事件最低嚴重程度分數。

如果未提供任何值，連接器會擷取所有嚴重程度的事件。

最大值為 100。

此外，連接器也支援這個參數的下列值：
  • 低
  • 中
  • 高
  • 重大

在 CrowdStrike UI 中，相同的值會除以 10。
Max Hours Backwards 選填

從現在起回溯幾小時，擷取事件。

預設值為 1。
Max Alerts To Fetch 選填

單一連結器疊代中要處理的警示數量。

最大值為 100。

預設值為 10。
Use dynamic list as a blocklist 必要

如果選取這個選項，連接器會將動態清單做為封鎖清單。

預設為未選取。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取這個選項，整合服務會驗證連線至 CrowdStrike 伺服器的 SSL 憑證是否有效。

預設為未選取。
Proxy Server Address 選填

要使用的 Proxy 伺服器位址。
Proxy Username 選填

用於驗證的 Proxy 使用者名稱。
Proxy Password 選填

用於驗證的 Proxy 密碼。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

連接器事件

以下是根據快訊的事件範例：

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

Crowdstrike Falcon - Sync Alerts

使用「Crowdstrike Falcon - Sync Alerts」工作，在 Google SecOps 和 Crowdstrike 之間雙向同步處理註解和狀態。

工作需求

為確保工作能識別並同步處理正確的資料，必須符合下列條件：

  • Google SecOps 案件必須包含 Crowdstrike Alert 標記。

  • 如果快訊並非來自「快訊連接器」或「身分識別保護偵測連接器」，您必須為工作新增 Alert_ID 快訊內容值，才能找出正確的 Crowdstrike 記錄。

作業邏輯

這項工作會分兩個階段同步處理資料。第一階段會將 Crowdstrike 資料同步至 Google SecOps 快訊。第二階段會將 Google SecOps 快訊資料同步至 Crowdstrike 快訊。

這項工作會使用 Max Hours Backwards 進行初始疊代。對於所有後續要求，這項工作都會使用最後處理的快訊 start_time。

註解同步處理邏輯

這項工作會使用 last_update_time 篩選留言，並防止重複輸入。同步註解使用下列結構：

  • CrowdStrike 傳送的電子郵件：Crowdstrike {ticket_id}: {comment}

  • Sent from Google SecOps： Google SecOps {case_id}: {comment}

Google SecOps 案件結案註解也會同步至 Crowdstrike，顯示為註解。

狀態和判決對應

在 Google SecOps 中關閉快訊時，這項工作會將對應的 Crowdstrike 快訊狀態更新為 Closed。這項工作也會套用下列分析師判決的對應：

  • 如果關閉原因為 Malicious，Crowdstrike Verdict 會設為 True Positive。

  • 如果結案原因為 Not Malicious，Crowdstrike Verdict 會設為 False Positive。

  • 如果是其他結案原因，狀態會設為 Closed，且不會提供判決。

工作參數

「Crowdstrike Falcon - Sync Alerts」工作需要下列參數：

參數 說明
Environment Name

必填。

工作搜尋快訊的環境名稱。

預設值為 Default Environment。
API Root

必填。

Crowdstrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

必填。

Crowdstrike 帳戶的用戶端 ID。
Client Secret

必填。

Crowdstrike 帳戶的用戶端密鑰。
Max Hours Backwards

必填。

在第一次工作疊代期間，要同步處理警報的目前時間前的小時數。

預設值為 24。
Verify SSL

必填。

如果選取這個選項，整合服務會在連線至 Crowdstrike 伺服器時驗證 SSL 憑證。

(預設為啟用)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。