將 CrowdStrike Falcon 與 Google SecOps 整合

本文說明如何將 CrowdStrike Falcon 與 Google Security Operations 整合。

這項整合功能使用一或多個開放原始碼元件。 您可以從 Cloud Storage bucket 下載這項整合功能的完整原始碼副本。

用途

在 Google SecOps 平台中，CrowdStrike Falcon 整合功能可解決下列用途：

  • 自動化惡意軟體防堵：運用 Google SecOps 平台的功能，自動隔離受影響的端點、擷取檔案雜湊值以進一步分析，並防止惡意軟體擴散。當網路釣魚電子郵件觸發 CrowdStrike Falcon 警示，指出有可疑檔案下載時，系統會自動啟動惡意軟體遏制功能。

  • 加速事件應變：使用 Google SecOps 收集程序樹狀結構和網路連線等比對內容資料、隔離遭入侵的主機，並建立調查單。

  • 威脅搜尋與調查：運用 Google SecOps 平台的功能，查詢 CrowdStrike Falcon 在特定期間內的使用者動作、檔案修改和網路連線。資安分析師可運用威脅搜索和調查功能，調查潛在的內部威脅、分析端點活動記錄，並簡化調查程序。

  • 網路釣魚應變和修復：使用 CrowdStrike Falcon 和 Google SecOps 平台掃描電子郵件附件、在沙箱環境中開啟附件，並在偵測到惡意活動時自動封鎖寄件者電子郵件地址。

  • 安全漏洞管理：使用 Google SecOps 平台的功能，自動為每個有安全漏洞的系統建立票證、根據嚴重性和資產價值排定優先順序，並觸發自動修補工作流程。安全漏洞管理功能可協助您找出多個端點上的重大安全漏洞。

事前準備

在 Google SecOps 中設定整合功能前，請先完成下列步驟：

  1. 設定 CrowdStrike Falcon API 用戶端。

  2. 設定動作權限。

  3. 設定連接器權限。

設定 CrowdStrike Falcon API 用戶端

如要定義 CrowdStrike API 用戶端，以及查看、建立或修改 API 用戶端或金鑰，您必須具備 FalconAdministrator 角色。

只有在建立新的 API 用戶端或重設 API 用戶端時，系統才會顯示密鑰。

如要設定 CrowdStrike Falcon API 用戶端，請完成下列步驟：

  1. 在 Falcon UI 中，依序前往 Support and resources > Resources and tools > API 用戶端和金鑰。您可以在這個頁面找到現有用戶端、新增 API 用戶端，或查看稽核記錄。
  2. 按一下「Create API Client」。
  3. 為新的 API 用戶端命名。
  4. 選取適當的 API 範圍。

  5. 點選「建立」。系統會顯示「用戶端 ID」和「用戶端密鑰」值。

    這是您唯一能看到用戶端密鑰值的機會。請務必妥善保管。如果遺失用戶端密鑰，請重設 API 用戶端，並使用新憑證更新所有依賴用戶端密鑰的應用程式。

如要進一步瞭解如何存取 CrowdStrike API，請參閱 CrowdStrike 網誌上的取得 CrowdStrike API 存取權指南。

設定動作權限

請參閱下表，瞭解執行動作所需的最低權限：

動作 所需權限
新增快訊留言 Alerts.Read
Alerts.Write
為偵測項目新增註解 Detections.Read
Detection.Write
新增身分保護偵測註解 Alerts.Read
Alerts.Write
新增事件註解 Incidents.Write
關閉偵測 Detections.Read
Detection.Write
遏止端點 Hosts.Read
Hosts.Write
刪除 IOC IOC Management.Read
IOC Management.Write
下載檔案 Hosts.Read
Real time response.Read
Real time response.Write
執行指令 Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write* 執行完整權限指令。
取得快訊詳細資料 Alerts.Read
取得事件偏移 Event streams.Read
依 IOC 取得主機 無法使用：已淘汰
取得主機資訊 Hosts.Read
依 IOC 取得程序名稱 無法使用：已淘汰
隱藏主機 Hosts.Read
Hosts.Write
Lift 內含端點 Hosts.Read
Hosts.Write
列出主機 Hosts.Read
列出主機安全漏洞 Hosts.Read
Spotlight vulnerabilities.Read
列出上傳的 IOC IOC Management.Read
隨選掃描 On-demand scans (ODS).Read
On-demand scans (ODS).Write
乒乓 Hosts.Read
執行指令碼 Hosts.Read
Real time response.Read
Real time response.Write
Real time response (admin).Write
搜尋事件 NGSIEM.Read
NGSIEM.Write
提交檔案 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
提交網址 Reports (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Read
Sandbox (Falcon Intelligence).Write
更新警告內容 Alerts.Read
Alerts.Write
更新偵測 Detections.Read
Detection.Write
User management.Read
更新身分保護偵測 Alerts.Read
Alerts.Write
更新事件 Incidents.Write
更新 IOC 資訊 IOC Management.Read
IOC Management.Write
上傳 IOC IOC Management.Read
IOC Management.Write

設定連接器權限

請參閱下表，瞭解連接器的最低權限：

連接器 所需權限
CrowdStrike 快訊連接器 Alerts.Read
CrowdStrike 偵測連接器 Detection.Read
CrowdStrike Falcon Streaming Events 連接器 Event streams.Read
CrowdStrike Identity Protection Detections 連接器 Alerts.Read
CrowdStrike 事件連接器 Incidents.Read

端點

CrowdStrike Falcon 整合功能會與下列 CrowdStrike Falcon API 端點互動：

一般 API 端點：

  • /oauth2/token

主機和裝置：

  • /devices/entities/devices/v1
  • /devices/entities/devices-actions/v2

偵測和事件：

  • /detections/entities/detections/v2
  • /detections/entities/summaries/GET/v1
  • /protection/entities/detections/v1
  • /humio/api/v1/repositories/{repository}/queryjobs
  • /humio/api/v1/repositories/{repository}/queryjobs/{job_id}

入侵指標 (IOC)：

  • /intel/entities/indicators/v1
  • /intel/queries/devices/v1

安全漏洞：

  • /devices/combined/devices/vulnerabilities/v1

應變與圍堵：

  • /respond/entities/command-queues/v1
  • /respond/entities/extracted-files/v1

事件：

  • /incidents/entities/incidents/GET/v1
  • /incidents/entities/incidents/comments/GET/v1
  • /incidents/entities/incidents/GET/v1

檔案和網址分析：

  • /malware-uploads/entities/submissions/v2
  • /url/entities/scans/v1

整合參數

如要讓整合功能正常運作，必須使用具備完整功能的 CrowdStrike Falcon 進階版。某些動作不適用於基本版 CrowdStrike Falcon。

CrowdStrike Falcon 整合功能需要下列參數：

參數
API Root

CrowdStrike 執行個體的 API 根。

預設值為 https://api.crowdstrike.com
Client API ID 必要

CrowdStrike API 的用戶端 ID。
Client API Secret 必要

CrowdStrike API 的用戶端密鑰。
Verify SSL

如果選取，整合功能會驗證連線至 CrowdStrike Falcon 伺服器的 SSL 憑證是否有效。

預設為未選取。
Customer ID 選用

要執行整合作業的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

繼續設定整合之前，請先為每個整合項目設定最低必要權限。詳情請參閱「動作權限」。

新增快訊留言

使用「Add Alert Comment」動作，在 CrowdStrike Falcon 中為警告新增註解。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「新增快訊註解」動作需要下列參數：

參數
Alert 必要

要更新的快訊 ID。
Comment 必要

要新增至警告的註解。

動作輸出內容

「新增快訊註解」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Alert Comment」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike 動作成功。

Error executing action "Add Alert Comment". Reason: ERROR_REASON

Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Add Alert Comment」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

在偵測結果中新增註解 - 已淘汰

使用「Add Comment to Detection」動作，在 CrowdStrike Falcon 的偵測結果中新增註解。

這項操作會對所有實體執行。

動作輸入內容

「Add Comment to Detection」(在偵測結果中新增註解) 動作需要下列參數：

參數 說明
Detection ID

這是必填欄位。

要新增註解的偵測項目 ID。
Comment

這是必填欄位。

要新增至偵測項目的註解。

動作輸出內容

「Add Comment to Detection」(在偵測結果中新增註解) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表說明使用「Add Comment to Detection」(在偵測結果中新增註解) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增身分保護偵測註解

使用「Add Identity Protection Detection Comment」動作，在 CrowdStrike 的身分保護偵測中新增註解。

必須具備 Identity Protection 授權，才能執行這項操作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Identity Protection Detection Comment」(新增身分保護偵測註解) 動作需要下列參數：

參數
Detection ID 必要

要更新的偵測項目 ID。
Comment 必要

要新增至偵測項目的註解。

動作輸出內容

「Add Identity Protection Detection Comment」(新增身分保護偵測註解) 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Identity Protection Detection Comment」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike 動作成功。
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

請檢查拼字。
指令碼執行結果

下表說明使用「Add Identity Protection Detection Comment」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

新增事件註解 - 已淘汰

使用「Add Incident Comment」動作，在 CrowdStrike 中為事件新增註解。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Incident Comment」動作需要下列參數：

參數 說明
Incident ID

這是必填欄位。

要更新的事件 ID。
Comment

這是必填欄位。

要新增至事件的註解。

動作輸出內容

「Add Incident Comment」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「新增事件註解」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully added comment to the incident INCIDENT_ID in CrowdStrike 動作成功。
Error executing action "Add Incident Comment". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

請檢查拼字。
指令碼執行結果

下表說明使用「Add Incident Comment」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

關閉偵測 - 已淘汰

使用「Close Detection」動作關閉 CrowdStrike Falcon 偵測。

這項操作會對所有實體執行。

動作輸入內容

Close Detection 動作需要下列參數：

參數 說明
Detection ID

這是必填欄位。

要關閉的偵測項目 ID。
Hide Detection

選填。

如果選取，該動作會在 UI 中隱藏偵測結果。

預設為選取。

動作輸出內容

Close Detection 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表說明使用「Close Detection」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

遏止端點

使用「Contain Endpoint」動作，在 CrowdStrike Falcon 中遏止端點。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「Contain Endpoint」動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Fail If Timeout 選用

如果選取這個選項，但未包含所有端點，則動作會失敗。

預設為選取。

動作輸出內容

「Contain Endpoint」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
實體擴充

「Contain Endpoint」動作支援下列實體擴充邏輯：

補充資料欄位 邏輯
status 如果 JSON 結果中存在，則傳回
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
policies 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
device_policies 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「Contain Endpoint」動作時，收到的 JSON 結果輸出內容：

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}
輸出訊息

「Contain Endpoint」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Contain Endpoint". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID

動作失敗。

請檢查端點狀態和 Fail If Timeout 參數值。
指令碼執行結果

下表說明使用「Contain Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除 IOC

使用「Delete IOC」動作，刪除 CrowdStrike Falcon 中的自訂 IOC。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「刪除 IOC」動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

無

動作輸出內容

「刪除 IOC」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表說明使用「Delete IOC」(刪除 IOC) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False
輸出訊息

在案件牆上，「刪除 IOC」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID

All of the provided IOCs were not a part of CrowdStrike Falcon instance.

 動作成功。
Error executing action "Delete IOC". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

下載檔案

使用「下載檔案」動作，從 CrowdStrike Falcon 的主機下載檔案。

如要執行這項動作，Google SecOps 警告範圍內必須同時包含檔案名稱和 IP 位址，或主機名稱實體。

下載的檔案會放在受密碼保護的 ZIP 套件中。如要存取檔案，請提供下列密碼：infected。

「下載檔案」動作會對下列實體執行：

  • 檔案名稱
  • IP 位址
  • 主機

動作輸入內容

「下載檔案」動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Download Folder Path 必要

儲存下載檔案的資料夾路徑。

格式取決於部署作業：

  • SaaS 部署：路徑位於代管平台內部。
  • 遠端部署：路徑必須是本機電腦上安裝遠端代理程式的絕對有效目錄路徑 (例如 Windows 的 C:\temp\download 或 Linux 的 /var/tmp/download/)。
Overwrite 必要

如果選取，動作會覆寫同名檔案。

預設為未選取。

動作輸出內容

「Download File」(下載檔案) 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
實體表格

「Download File」動作提供下列實體資料表：

實體
filepath 檔案的絕對路徑。
JSON 結果

以下範例說明使用「Download File」動作時，收到的 JSON 結果輸出內容：

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}
輸出訊息

「Download File」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Download File". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.

動作失敗。

請檢查 Overwrite 參數值或刪除檔案。
Waiting for results for the following entities: ENTITY_ID 非同步訊息。
指令碼執行結果

下表說明使用「Download File」(下載檔案) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

執行指令

使用「執行指令」動作，在 CrowdStrike Falcon 的主機上執行指令。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「執行指令」動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Command 必要

指定要在主機上執行的指令。
Admin Command 選用

如果選取，動作會以管理員權限執行指令。這是執行 put 等特定指令的必要條件。

預設為未選取。
Hostname 選用

列出要執行動作的主機名稱，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Queue Offline 選用

如果選取這個選項，系統會將指定離線主機的指令排入佇列，並在主機重新連上網路後執行。

預設為未選取。

動作輸出內容

「執行指令」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

在案件牆上，「Execute Command」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID 動作成功。
Error executing action "Execute Command". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Waiting for results for the following entities: ENTITY_ID 非同步訊息。
指令碼執行結果

下表說明使用「Execute Command」(執行指令) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得快訊詳細資料

使用「Get Alert Details」動作，擷取 CrowdStrike Falcon 中的警告詳細資料。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Alert Details」動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要擷取詳細資料的警示專屬 ID。

動作輸出內容

「Get Alert Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Alert Details」動作時，收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "analyst@example.com",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

「Get Alert Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.

 動作成功。
Error executing action "Get Alert Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Alert Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得事件偏移

使用「Get Event Offset」動作，擷取串流事件連接器使用的事件偏移。

這項操作會開始處理 30 天前的事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Event Offset」動作需要下列參數：

參數
Max Events To Process 必要

動作需要處理的事件數量 (從 30 天前開始)。

預設值為 10000。

動作輸出內容

「Get Event Offset」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Get Event Offset」動作時，收到的 JSON 結果輸出內容：

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}
輸出訊息

「Get Event Offset」(取得事件偏移) 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully retrieved event offset in CrowdStrike Falcon. 動作成功。
Error executing action "Get Event Offset". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Get Event Offset」(取得事件偏移) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得主機資訊

使用「Get Host Information」動作，從 CrowdStrike Falcon 擷取主機名稱的相關資訊。

這項動作會對下列實體執行：

  • 主機名稱
  • IP 位址

動作輸入內容

「Get Host Information」動作需要下列參數：

參數
Hostname 選用

在 CrowdStrike Falcon 中隱藏的主機名稱清單 (以半形逗號分隔)。這項動作會處理此參數中提供的值，以及案件附加的主機名稱和 IP 位址實體。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Customer ID 選用

CrowdStrike 客戶 ID (CID) 是專屬 ID，用於指定特定租戶。在 Falcon Flight Control 或多租戶環境中，必須使用這個參數，才能對特定子 CID 執行動作。

動作輸出內容

「Get Host Information」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
實體擴充

「Get Host Information」動作支援下列實體擴充邏輯：

補充資料欄位 邏輯
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
site_name 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
status 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
machine_domain 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「Get Host Information」動作時，收到的 JSON 結果輸出：

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]
輸出訊息

「Get Host Information」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID

Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID

 動作成功。
Error executing action "Get Host Information". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Get Host Information」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

Get Hosts by IOC - Deprecated

在 CrowdStrike Falcon 中列出與 IOC 相關的主機。支援的實體：主機名稱、網址、IP 位址和雜湊。
注意：主機名稱實體會視為網域 IOC。這項動作會從網址中擷取網域部分。僅支援 MD5 和 SHA-256 雜湊。

實體

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

不適用

動作輸出內容

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
實體擴充
補充資料欄位 邏輯
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
site_name 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
主機名稱 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
狀態 如果 JSON 結果中存在，則傳回
bios_manufacturer 如果 JSON 結果中存在，則傳回
machine_domain 如果 JSON 結果中存在，則傳回
Device_policies 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
政策 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
實體洞察

不適用

案件總覽
結果類型 值/說明 類型
輸出訊息* 動作不應失敗，也不應停止執行應對手冊：
如果成功，且找到至少一個與所提供 IOC 相關的主機 (is_success=true)：「已成功在 CrowdStrike Falcon 中擷取與所提供 IOC 相關的主機。」
如果找不到相關主機 (is_success=false)：「CrowdStrike Falcon 中沒有與所提供 IOC 相關的主機。」
動作應失敗並停止執行自動化動作：
如果回報重大錯誤：「執行動作『{action name}』時發生錯誤。原因：{traceback}。		 一般

依 IOC 取得程序名稱 - 已淘汰

在 CrowdStrike Falcon 中，擷取與 IOC 和指定裝置相關的程序。支援的實體：主機名稱、網址、IP 位址和雜湊。
注意：主機名稱實體會視為網域 IOC。這項動作會從網址中擷取網域部分。僅支援 MD5、SHA-1 和 SHA-256 雜湊。IP 位址實體會視為 IOC。

參數

參數名稱 類型 預設值 為必填 說明
裝置名稱 11 不適用 是 指定以半形逗號分隔的裝置清單，擷取與實體相關的程序。

執行日期

這項動作會對下列實體執行：

  • 主機名稱
  • 網址
  • 雜湊

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
實體充實
補充資料欄位名稱 邏輯 - 應用時機
程序名稱 如果 JSON 結果中存在，則傳回
指標 如果 JSON 結果中存在，則傳回
主機名稱 如果 JSON 結果中存在，則傳回
實體洞察

不適用

案件總覽
結果類型 值/說明 類型
輸出訊息* 這項動作不應失敗，也不應停止執行應對手冊：
如果找到與至少一個端點實體相關的程序 (is_success=true)：「已成功擷取與 CrowdStrike Falcon 中下列端點 IOC 相關的程序：{device name}。」
如果至少有一個端點找不到任何程序，或找不到裝置 (is_success=true)：「在 CrowdStrike Falcon 的下列端點中找不到相關程序：{裝置名稱}。」
如果 所有端點都沒有找到任何程序，或找不到任何裝置 (is_success=false)：「在 CrowdStrike Falcon 中，提供的端點上找不到相關程序。
動作應失敗並停止執行應對手冊：
如果回報重大錯誤： 「執行『{action name}』時發生錯誤。 原因：{trace back}。

隱藏主機

使用「Hide Hosts」動作，在 CrowdStrike Falcon 控制台中隱藏一或多部主機。

這項動作會在下列 Google SecOps 實體上執行：

  • 主機名稱
  • IP 位址

動作輸入內容

Hide Hosts 動作需要下列參數：

參數 說明
Hostname

選填。

在 CrowdStrike Falcon 中隱藏的主機名稱清單 (以半形逗號分隔)。

這項動作會處理這個參數中提供的輸入值，以及附加至案件的 Hostname 和 IP Address 實體。
Customer ID

選填。

CrowdStrike 客戶 ID (CID) 專屬 ID，用於指定特定租戶。

在 Falcon Flight Control 或多租戶環境中，必須提供這項參數，才能對特定子 CID 執行動作。

動作輸出內容

「Hide Hosts」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Hide Hosts 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully hid the following hosts in Crowdstrike: HOSTS.

Action wasn't able to hide the following hosts in Crowdstrike: HOSTS.

None of the provided hosts were hidden.

 動作成功。
Error executing action "Hide Host". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Hide Hosts」(隱藏主機) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

Lift 內含端點

使用「Lift Contained Endpoint」動作，解除 CrowdStrike Falcon 中的端點隔離。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

Lift Contained Endpoint 動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Fail If Timeout 選用

如果選取這個選項，但未解除所有端點的隔離狀態，則動作會失敗。

預設為選取。

動作輸出內容

「Lift Contained Endpoint」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
實體擴充

「Lift Contained Endpoint」動作支援下列實體擴充：

補充資料欄位 邏輯
status 如果 JSON 結果中存在，則傳回
modified_timestamp 如果 JSON 結果中存在，則傳回
major_version 如果 JSON 結果中存在，則傳回
config_id_platform 如果 JSON 結果中存在，則傳回
system_manufacturer 如果 JSON 結果中存在，則傳回
device_policies 如果 JSON 結果中存在，則傳回
meta 如果 JSON 結果中存在，則傳回
pointer_size 如果 JSON 結果中存在，則傳回
last_seen 如果 JSON 結果中存在，則傳回
agent_local_time 如果 JSON 結果中存在，則傳回
first_seen 如果 JSON 結果中存在，則傳回
service_pack_major 如果 JSON 結果中存在，則傳回
slow_changing_modified_timestamp 如果 JSON 結果中存在，則傳回
service_pack_minor 如果 JSON 結果中存在，則傳回
system_product_name 如果 JSON 結果中存在，則傳回
product_type_desc 如果 JSON 結果中存在，則傳回
build_number 如果 JSON 結果中存在，則傳回
cid 如果 JSON 結果中存在，則傳回
local_ip 如果 JSON 結果中存在，則傳回
external_ip 如果 JSON 結果中存在，則傳回
hostname 如果 JSON 結果中存在，則傳回
config_id_build 如果 JSON 結果中存在，則傳回
minor_version 如果 JSON 結果中存在，則傳回
platform_id 如果 JSON 結果中存在，則傳回
os_version 如果 JSON 結果中存在，則傳回
config_id_base 如果 JSON 結果中存在，則傳回
provision_status 如果 JSON 結果中存在，則傳回
mac_address 如果 JSON 結果中存在，則傳回
bios_version 如果 JSON 結果中存在，則傳回
platform_name 如果 JSON 結果中存在，則傳回
agent_load_flags 如果 JSON 結果中存在，則傳回
device_id 如果 JSON 結果中存在，則傳回
product_type 如果 JSON 結果中存在，則傳回
agent_version 如果 JSON 結果中存在，則傳回
JSON 結果

以下範例說明使用「Lift Contained Endpoint」動作時，收到的 JSON 結果輸出內容：

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }
輸出訊息

「Lift Contained Endpoint」(解除端點隔離) 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID

The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID

 動作成功。
Waiting for containment lift to finish for the following endpoints: ENTITY_ID 非同步訊息。
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID

動作失敗。

請檢查端點狀態和 Fail If Timeout 參數值。
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Lift Contained Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出主機安全漏洞

使用「List Host Vulnerabilities」動作，列出 CrowdStrike Falcon 主機上發現的安全漏洞。

必須具備 Falcon Spotlight 授權和權限，才能執行這項操作。

這項動作會對下列實體執行：

  • IP 位址
  • 主機名稱

動作輸入內容

「List Host Vulnerabilities」(列出主機安全漏洞) 動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Severity Filter 選用

請指定安全漏洞嚴重性清單，並以半形逗號分隔。如果未提供任何內容，這項動作會擷取所有相關安全漏洞。可能的值：Critical、High、Medium、Low、Unknown。
Create Insight 選用

如果選取，這項動作會為每個實體建立一項洞察，其中包含相關安全漏洞的統計資訊。

預設為選取。
Max Vulnerabilities To Return 選用

指定每部主機要傳回的安全漏洞數量。如果未提供任何內容，動作會處理所有相關安全漏洞。

預設值為 100。

動作輸出內容

「List Host Vulnerabilities」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

在案件牆上，「List Host Vulnerabilities」(列出主機安全漏洞) 動作會提供下表：

類型：實體

欄：

  • 名稱
  • 分數
  • 嚴重性
  • 狀態
  • 應用程式
  • 有修復措施
JSON 結果

以下範例說明使用「List Host Vulnerabilities」動作時，收到的 JSON 結果輸出內容：

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}
輸出訊息

「List Host Vulnerabilities」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved vulnerabilities for the following hosts: ENTITIES

No vulnerabilities were found for the following hosts: ENTITIES

動作成功。
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.

動作失敗。

請檢查 Severity Filter 參數值。
指令碼執行結果

下表說明使用「List Host Vulnerabilities」(列出主機安全漏洞) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出主機

使用「List Hosts」動作，列出 CrowdStrike Falcon 中可用的主機。

這項操作會對所有實體執行。

動作輸入內容

「List Hosts」動作需要下列參數：

參數
Filter Logic 選用

搜尋主機時使用的邏輯。

預設值為 Equals。

可能的值如下：
  • Equals
  • Contains
Filter Value 選用

用於主機篩選的值。
Max Hosts To Return 選用

要傳回的主機數量。

預設值為 50。

最大值為 1000。

動作輸出內容

「List Hosts」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「List Hosts」動作時，收到的 JSON 結果輸出內容：

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]
輸出訊息

「List Hosts」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved available hosts based on the provided criteria.

No hosts were found for the provided criteria.

 動作成功。
Error executing action "List Hosts". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「List Hosts」(列出主機) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出上傳的 IOC

使用「List Uploaded IOCs」動作，列出 CrowdStrike Falcon 中可用的自訂 IOC。

這項操作會對所有實體執行。

動作輸入內容

「List Uploaded IOCs」(列出已上傳的 IOC) 動作需要下列參數：

參數
IOC Type Filter 選用

以半形逗號分隔的 IOC 類型清單，用於傳回結果。

預設值為 ipv4,ipv6,md5,sha1,sha256,domain。

可能的值如下：
  • ipv4
  • ipv6
  • md5
  • sha1
  • sha256
  • domain
Value Filter Logic 選用

篩選器邏輯的值。

預設值為 Equal。

可能的值如下：
  • Equal
  • Contains

如果設定 Equal，動作會嘗試在入侵指標中尋找完全比對的項目。
如果設定 Contains，動作會嘗試尋找包含所選子字串的入侵指標。
Value Filter String 選用

要搜尋入侵指標 (IOC) 的字串。
Max IOCs To Return 選用

要傳回的 IOC 數量。

預設值為 50。

最大值為 500。

動作輸出內容

「List Uploaded IOCs」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

在案件牆上，「List Uploaded IOCs」動作會提供下表：

欄：

  • 動作
  • 嚴重性
  • 已簽署
  • Active View 命中
  • 平台
  • 標記
  • 建立時間
  • 建立者

JSON 結果

以下範例說明使用「List Uploaded IOCs」動作時，收到的 JSON 結果輸出內容：

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "internal@example.com",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "internal@example.com"
        }
輸出訊息

「List Uploaded IOCs」(列出已上傳的 IOC) 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon. 動作成功。
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.

動作失敗。

請檢查拼字和 IOC Type Filter 參數值。
指令碼執行結果

下表說明使用「List Uploaded IOCs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

隨選掃描

使用「隨選掃描」動作，在 CrowdStrike 中隨選掃描端點。

這項動作只會在 Windows 主機和下列實體上執行：

  • IP 位址
  • 主機名稱

隨選掃描動作會以非同步方式執行。如有需要，請在 Google SecOps IDE 中調整指令碼逾時值。

動作輸入內容

隨選掃描動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
File Paths To Scan 必要

以半形逗號分隔的掃描路徑清單。

預設值為 C:\Windows。
File Paths To Exclude From Scan 選用

以逗號分隔的清單，列出要排除在掃描範圍外的路徑。
Host Group Name 選用

以半形逗號分隔的主機群組名稱清單，用於啟動掃描。

注意：系統會為每個主機群組建立個別的掃描程序。
Scan Description 選用

掃描作業的說明。如未提供值，動作會將說明設為 Scan initialized by Chronicle SecOps.
CPU Priority 選用

掃描期間，基礎主機要使用的 CPU 數量。

可能的值：Up to 1% CPU utilization、Up to 25% CPU utilization、Up to 50% CPU utilization、Up to 75% CPU utilization、Up to 100% CPU utilization。

預設值為 Up to 25% CPU utilization。
Sensor Anti-malware Detection Level 選用

指定感應器的惡意軟體偵測層級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive。

預設值為 Moderate。
Sensor Anti-malware Prevention Level 選用

指定感應器的惡意軟體防護等級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

預設值為 Moderate。
Cloud Anti-malware Detection Level 選用

指定雲端反惡意軟體偵測層級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive。

預設值為 Moderate。
Cloud Anti-malware Prevention Level 選用

指定雲端惡意軟體防護等級。

注意：偵測層級必須等於或高於防護層級。

可能的值：Cautious、Moderate、Aggressive、Extra Aggressive、Disabled。

預設值為 Moderate。
Quarantine Hosts 選用

如果選取，系統會在掃描時隔離基礎主機。

預設為未選取。
Create Endpoint Notification 選用

如果選取，掃描程序會建立端點通知。

預設為選取。
Max Scan Duration 選用

掃描作業執行的時數。如未提供值，掃描作業會持續執行。

預設值為 1。
Hostname 選用

列出要執行動作的主機名稱，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。

動作輸出內容

「隨需掃描」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「On-Demand Scan」(隨選掃描) 動作時，收到的 JSON 結果輸出內容：

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}
輸出訊息

隨選掃描動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES

Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances.

None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created.

Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS

The following host groups were not found in CrowdStrike: HOST_GROUPS

None of the provided host groups were found in CrowdStrike.

Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS

動作成功。

Error executing action "On-Demand Scan". Reason: ERROR_REASON

Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「隨選掃描」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作，測試與 CrowdStrike Falcon 的連線能力。

這項操作會對所有實體執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

執行指令碼

使用「Run Script」動作，在 CrowdStrike 的端點上執行 PowerShell 指令碼。

這項操作是非同步的。如有需要，請在 Google SecOps IDE 中調整指令碼逾時值。

這項動作會對 IP 位址和主機名稱實體執行。

動作輸入內容

「執行指令碼」動作需要下列參數：

參數
Customer ID 選用

指定要執行動作的客戶 ID。
Script Name 選用

要執行的指令碼檔案名稱。

注意：必須提供 Script Name 或 Raw Script。如果兩者皆有提供，系統會優先採用 Raw Script。
Raw Script 選用

需要在端點上執行的原始 PowerShell 指令碼酬載。

注意：必須提供 Script Name 或 Raw Script。如果兩者皆提供，系統會優先採用 Raw Script。
Hostname 選用

列出要執行動作的主機名稱，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Device ID 選用

列出要執行動作的裝置 ID，並以半形逗號分隔。

注意：系統會對案件附加的實體和這些參數值執行動作。
Queue Offline 選用

如果選取這個選項，系統會將指定離線主機的指令排入佇列，並在主機重新連上網路後執行。

預設為未選取。

動作輸出內容

「執行指令碼」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

在案件總覽中，「執行指令碼」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES

Script wasn't executed on the provided endpoints in CrowdStrike.

Waiting for the scripts to finish execution on the following endpoints: ENTITIES

 動作成功。

Error executing action "Run Script". Reason: ERROR_REASON

Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Run Script」(執行指令碼) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋事件

使用「Search Events」動作，在 CrowdStrike Falcon Next-Gen SIEM (LogScale) 存放庫中執行非同步事件搜尋查詢。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「搜尋事件」動作需要下列參數：

參數
Repository 必要

要搜尋的存放區。

可能的值如下：

  • All
  • Falcon
  • Third Party
  • IT Automation
  • Forensics

預設值為 All。
Query 必要

要在 CrowdStrike 執行的查詢。
Time Frame 選用

結果的時間範圍。

如果選取 Custom，則必須一併提供 Start Time。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

預設值為 Last Hour。
Start Time 選用

結果的開始時間，採用 ISO 8601 格式。

如果在 Time Frame 中設定 Custom，則必須提供這個參數。
End Time 選用

結果的結束時間，採用 ISO 8601 格式。

如未提供值，且 Time Frame 中已設定 Custom，動作會使用目前時間做為結束時間。
Max Results To Return 選用

查詢傳回的結果數上限。

最大值為 1000。

預設值為 50。

動作輸出內容

「搜尋事件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

在案件總覽中，「搜尋事件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned results for the query "{query}" in CrowdStrike.


No results were found for the query "{query}" in CrowdStrike


Waiting for the search job to finish...


 這項動作不應失敗或停止執行應對手冊。

Error executing action "Search Events".

Reason: {0}''.format(error.Stacktrace)


Error executing action "Search Events".

Reason: {0}''.format(message)


Error executing action "Search Events".

Reason: query Job {query id} has expired.

Please decrease the async polling interval.

動作失敗。
指令碼執行結果

下表說明使用「Search Events」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

提交檔案

使用「Submit File」動作，將檔案提交至 CrowdStrike 的沙箱。

必須具備 Falcon Sandbox 授權，才能執行這項操作。

這項動作不會在 Google SecOps 實體上執行。

支援的檔案和封存格式

根據 CrowdStrike 入口網站，沙箱支援下列檔案格式：

支援的檔案格式
.exe、.scr、.pif、 .dll、.com、.cpl 可攜式執行檔
.doc、.docx、.ppt、 .pps、.pptx、.ppsx、 .xls、.xlsx、.rtf、 .pub Office 文件
.pdf PDF
.apk APK
.jar 可執行的 JAR
.sct Windows 指令碼元件
.lnk Windows 捷徑
.chm Windows 說明
.hta HTML 應用程式
.wsf Windows 指令碼檔案
.js JavaScript
.vbs、.vbe Visual Basic
.swf Shockwave Flash
.pl Perl
.ps1、.psd1、.psm1 Powershell
.svg 可擴充向量圖形
.py Python
.elf Linux ELF 執行檔
.eml 電子郵件檔案：MIME RFC 822
.msg 電子郵件檔案：Outlook

根據 CrowdStrike 入口網站，沙箱支援下列封存格式：

  • .zip
  • .7z

動作輸入內容

「Submit File」動作需要下列參數：

參數
File Paths 必要

提交檔案的絕對路徑清單。

格式取決於部署作業：

  • SaaS 部署：路徑位於代管平台內部。
  • 遠端部署：路徑必須是安裝遠端代理程式的本機電腦上的絕對有效檔案路徑 (例如 Windows 的 C:\temp\download 或 Linux 的 /var/tmp/download/)。

如需支援的檔案格式清單，請參閱「支援的檔案和封存格式」。
Sandbox Environment 選用

用於分析的沙箱環境。

預設值為 Windows 10, 64-bit。

可能的值如下：
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 選用

要分析的網路環境。

預設值為 Default。

可能的值如下：
  • Default
  • TOR
  • Offline
  • Simulated
Archive Password 選用

處理封存檔案時要使用的密碼。
Document Password 選用

使用 Adobe 或 Office 檔案時要輸入的密碼。

密碼長度上限為 32 個字元。
Check Duplicate 選用

如果選取，動作會檢查檔案是否已提交，並傳回可用的報告。

驗證期間，動作不會考量 Network Environment 和 Sandbox Environment 參數。

預設為選取。
Comment 選用

要提交的留言。
Confidential Submission 選用

如果選取，檔案只會向客戶帳戶中的使用者顯示。

預設為未選取。

動作輸出內容

「Submit File」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

在案件牆上，「提交檔案」動作會提供下表：

欄：

  • 結果
  • 名稱
  • 威脅分數
  • 判定結果
  • 標記
輸出訊息

「Submit File」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following files using CrowdStrike: PATHS

Action wasn't able to return details about the following files using CrowdStrike: PATHS

 動作成功。

Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files.

None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.

動作傳回錯誤。

請查看這項動作支援的檔案格式。
Waiting for results for the following files: PATHS 非同步訊息。
Error executing action "Submit File". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

動作失敗。

在 IDE 中增加逾時時間。
指令碼執行結果

下表說明使用「Submit File」(提交檔案) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

提交網址

使用「提交網址」動作，將網址提交至 CrowdStrike 的沙箱。

這項操作需要 Falcon Sandbox 授權。如要查看沙箱支援的檔案格式，請參閱本文的「支援的檔案和封存格式」一節。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Submit URL」動作需要下列參數：

參數
URLs 必要

要提交的網址。
Sandbox Environment 選用

用於分析的沙箱環境。

預設值為 Windows 10, 64-bit。

可能的值如下：
  • Linux Ubuntu 16.04, 64-bit
  • Android (static analysis)
  • Windows 10, 64-bit
  • Windows 7, 64-bit
  • Windows 7, 32-bit
Network Environment 選用

要分析的網路環境。

預設值為 Default。

可能的值如下：
  • Default
  • TOR
  • Offline
  • Simulated
Check Duplicate 選用

如果選取，動作會檢查網址是否已提交，並傳回可用的報告。

驗證期間，動作不會考量 Network Environment 和 Sandbox Environment 參數。

預設為選取。

動作輸出內容

「Submit URL」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Submit URL」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following URLs using CrowdStrike: PATHS

Action wasn't able to return details about the following URLs using CrowdStrike: PATHS

 動作成功。
Waiting for results for the following URLs: PATHS 非同步訊息。
Error executing action "Submit URL". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.

動作失敗。

在 IDE 中增加逾時時間。
指令碼執行結果

下表說明使用「Submit URL」(提交網址) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新警告內容

使用「更新快訊」動作，更新 CrowdStrike Falcon 中的快訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Alert」動作需要下列參數：

參數
Alert ID 必要

要更新的快訊 ID。
Status 選用

警告的狀態。

可能的值如下：
  • Closed
  • In Progress
  • New
  • Reopened
Verdict 選用

快訊的判定結果。

可能的值如下：
  • True Positive
  • False Positive
Assign To 選用

要指派快訊的分析師名稱。

如果提供 Unassign 做為參數值，這項動作會移除快訊的指派項目。

即使系統中沒有提供的使用者，API 也會接受任何值。

動作輸出內容

「Update Alert」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Update Alert」(更新快訊) 動作時，收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

「Update Alert」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated alert with ID ALERT_ID in CrowdStrike 動作成功。

Error executing action "Update Alert". Reason: ERROR_REASON

Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.

Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Update Alert」(更新快訊) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新偵測 - 已淘汰

使用「Update Detection」動作，更新 CrowdStrike Falcon 中的偵測結果。

這項操作會對所有實體執行。

動作輸入內容

Update Detection 動作需要下列參數：

參數 說明
Detection ID

這是必填欄位。

要更新的偵測項目 ID。
Status

這是必填欄位。

偵測狀態。

預設值為 Select One。

可能的值如下：
  • Select One
  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
  • closed
Assign Detection to

選填。

偵測項目指派對象的 CrowdStrike Falcon 使用者電子郵件地址。

動作輸出內容

「Update Detection」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Update Detection」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated detection DETECTION_ID in CrowdStrike Falcon. 動作成功。
Error executing action "Update Detection". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.

動作失敗。

檢查 Status 和 Assign Detection To 參數的值。
指令碼執行結果

下表說明使用「Update Detection」(更新偵測) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

更新身分保護偵測

使用「Update Identity Protection Detection」，更新 CrowdStrike 中的身分保護偵測。

必須具備 Identity Protection 授權，才能執行這項操作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Identity Protection Detection」(更新身分保護偵測) 動作需要下列參數：

參數
Detection ID 必要

要更新的偵測項目 ID。
Status 選用

偵測狀態。

預設值為 Select One。

可能的值如下：

  • Closed
  • Ignored
  • In Progress
  • New
  • Reopened
  • Select One
Assign to 選用

指派的分析師姓名。

如果提供 Unassign，這項動作會從偵測項目中移除指派對象。

如果提供的值無效，動作不會變更目前的指派對象。

動作輸出內容

「Update Identity Protection Detection」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「更新身分保護偵測」動作時，收到的 JSON 結果輸出內容：

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "example@example.com",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}
輸出訊息

在案件牆上，「Update Identity Protection Detection」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike. 動作成功。
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

請檢查拼字。
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.

動作失敗。

檢查 Status 和 Assign to 參數的值。
指令碼執行結果

下表說明使用「更新身分保護偵測」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新事件 - 已淘汰

使用「Update Incident」動作，在 CrowdStrike 中更新事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Incident」(更新事件) 動作需要下列參數：

參數 說明
Incident ID

這是必填欄位。

要更新的事件 ID。
Status

選填。

事件的狀態。

可能的值如下：

  • Closed
  • In Progress
  • New
  • Reopened
Assign to

選填。

指派分析師的名稱或電子郵件地址。

如果提供 Unassign，這項動作會從事件中移除指派對象。

如要指定姓名，請按照下列格式提供分析師的姓氏和名字："FIRST_NAME LAST_NAME"

動作輸出內容

「Update Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Update Incident」動作時，收到的 JSON 結果輸出內容：


 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }
輸出訊息

「Update Incident」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully updated incident with ID INCIDENT_ID in CrowdStrike 動作成功。
Error executing action "Update Incident". Reason: ERROR_REASON

動作失敗。

請檢查連線、輸入參數或憑證。
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.

動作失敗。

請檢查拼字。
指令碼執行結果

下表說明使用「Update Incident」(更新事件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新 IOC 資訊

使用「Update IOC Information」(更新 IOC 資訊) 動作，更新 CrowdStrike Falcon 中自訂 IOC 的相關資訊。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「更新 IOC 資訊」動作會在下列實體上執行：

  • 主機名稱
  • 網址
  • IP 位址
  • 雜湊

動作輸入內容

「Update IOC Information」(更新 IOC 資訊) 動作需要下列參數：

參數
Description 選用

自訂 IOC 的新說明。
Source 選用

自訂 IOC 的來源。
Expiration days 選用

距離到期日的天數。

這個參數只會影響網址、IP 位址和主機名稱實體。

Detect policy 選用

如果選取，系統會針對偵測到的 IOC 傳送通知。如未選取，動作就不會傳送通知。

預設為選取。

動作輸出內容

「Update IOC Information」(更新 IOC 資訊) 動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Update IOC Information」動作時，收到的 JSON 結果輸出內容：

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "internal@example.com",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}
輸出訊息

在案件牆上，「更新 IOC 資訊」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID

Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID

 動作成功。
Error executing action "Update IOC Information". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Update IOC Information」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

上傳 IOC

使用「Upload IOCs」動作，在 CrowdStrike Falcon 中新增自訂 IOC。

這項動作會將主機名稱實體視為網域 IOC，並從網址中擷取網域部分。這項動作僅支援 MD5 和 SHA-256 雜湊。

「上傳 IOC」動作會在下列實體上執行：

  • IP 位址
  • 主機名稱
  • 網址
  • 雜湊

動作輸入內容

「Upload IOCs」動作需要下列參數：

參數
Platform 必要

與 IOC 相關的平台清單，以半形逗號分隔。

預設值為 Windows,Linux,Mac。

可能的值如下：
  • Windows
  • Linux
  • Mac
Severity 必要

IOC 的嚴重性。

預設值為 Medium。

可能的值如下：
  • Informational
  • Low
  • Medium
  • High
  • Critical
Comment 選用

包含 IOC 相關背景資訊的註解。
Host Group Name 必要

主機群組的名稱。
Action 選用

對上傳的 IOC 採取的動作。

預設值為 Detect。

可能的值如下：

  • Block
  • Detect

Block 值僅適用於 MD5 雜湊。這項動作一律會將 Detect 政策套用至所有其他 IOC 類型。
Days To Expire 選用

IOC 到期前的天數。

動作輸出內容

「Upload IOCs」動作會提供下列輸出內容：

動作輸出類型
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Upload IOCs」(上傳 IOC) 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID

Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID

動作成功。
Error executing action "Upload IOCs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.

動作失敗。

請檢查 Host Group Name 參數值。
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.

動作失敗。

請檢查 Platform 參數值。
指令碼執行結果

下表說明使用「Upload IOCs」(上傳 IOC) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

請務必為每個 CrowdStrike 連接器設定最低權限。詳情請參閱本文的「連接器權限」一節。

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

CrowdStrike 事件

事件是指主機上的 Falcon 感應器收集到的資訊。 CrowdStrike 有四種事件類型：

CrowdStrike 事件類型
驗證活動稽核事件 每次在端點上要求、允許或完成授權時，系統都會產生事件。
偵測摘要事件 在端點偵測到威脅時產生的事件。
遠端回應工作階段結束事件 端點上遠端工作階段產生的事件。
使用者活動稽核事件 系統會產生事件，監控活躍使用者在端點上執行的活動。

連接器會將事件擷取至 Google SecOps，以建立快訊，並使用事件資料充實案件。您可以選取要擷取至 Google SecOps 的事件：所有事件類型或所選事件類型。

已淘汰：CrowdStrike 偵測連接器

使用 CrowdStrike 偵測連接器，從 CrowdStrike 提取偵測結果。

動態清單可與 CrowdStrike API 支援的篩選器搭配使用。

如何使用動態清單

使用動態清單時，請遵循下列建議：

  • 使用 CrowdStrike FQL 語言修改連接器傳送的篩選器。
  • 在動態清單中為每個篩選器提供個別項目。
  • 如要擷取指派給特定分析師的所有偵測資料，請確認分析師提供下列動態清單項目：
    assigned_to_name:'ANALYST_USER_NAME'

動態清單支援下列參數：

支援的參數 說明
q 在所有中繼資料欄位中進行全文搜尋。
date_updated 最近一次偵測更新的日期。
assigned_to_name 偵測項目指派對象的人類可讀使用者名稱。
max_confidence

如果偵測結果有多個相關聯行為，且信賴水準不一，這個欄位會擷取所有行為中最高的信賴值。

參數值可以是 1 到 100 之間的任何整數。
detection_id 偵測 ID，可與其他 API 搭配使用，例如 Detection Details API 或 Resolve Detection API。
max_severity

如果偵測結果有多個相關聯行為，且嚴重程度不一，這個欄位會擷取所有行為中最高的嚴重程度值。

參數值可以是 1 到 100 之間的任何整數。
max_severity_displayname

在 UI 中用於判斷偵測嚴重性的名稱。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
seconds_to_triaged 偵測結果狀態從new變更為in_progress所需的時間。
seconds_to_resolved 偵測項目狀態從 new 變更為任何已解決狀態 (true_positive、false_positive、ignored 和 closed) 所需的時間。
status

偵測項目的目前狀態。

可能的值如下：

  • new
  • in_progress
  • true_positive
  • false_positive
  • ignored
adversary_ids CrowdStrike Falcon Intelligence 追蹤的攻擊者擁有一個 ID，與偵測到的歸因行為或指標相關聯。這些 ID 位於偵測中繼資料中，可透過 Detection Details API 存取。
cid 貴組織的客戶 ID (CID)。

連接器輸入

CrowdStrike Detections 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name

這是必填欄位。

包含 Event Field 名稱的來源欄位名稱。

預設值為 behaviors_technique。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。
Script Timeout (Seconds)

這是必填欄位。

Python 程序執行目前指令碼的逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

這是必填欄位。

CrowdStrike 帳戶的用戶端 ID。
Client Secret

這是必填欄位。

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch

選填。

要擷取的偵測項目最低嚴重性分數 (最高 100)。

預設值為 50。
Lowest Confidence Score To Fetch

選填。

要擷取的偵測結果最低可信度分數 (最高 100)。

預設值為 0。
Max Hours Backwards

選填。

要擷取偵測項目的時數。

預設值為 1。
Max Detections To Fetch

選填。

單次連接器疊代中要處理的偵測數量。

預設值為 10。
Disable Overflow

選填。

如果選取這個選項，連接器會忽略溢位機制。
Verify SSL

這是必填欄位。

如果選取，整合項目會驗證 SSL 憑證。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。
Case Name Template

選填。

預留位置格式：[FIELD_NAME ]。
Alert Name Template

選填。

預留位置格式：[FIELD_NAME ]。
Padding Period

選填。

用於填補的時數 (最多 6 小時)。
Include Hidden Alerts

選填。

如果啟用，系統會擷取標示為「隱藏」的快訊。
Fallback Severity

選填。

如果缺少嚴重程度，則會套用。預設：資訊。
Customer ID

選填。

多租戶 (MSSP) 環境的客戶 ID。

連接器規則

連接器支援 Proxy。

連接器事件

以下是連接器事件範例：


{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}

CrowdStrike Falcon Streaming Events 連接器

CrowdStrike Falcon Streaming Events 連接器適用於下列用途：

  1. 偵測事件資料擷取。

    CrowdStrike Falcon 偵測到有人嘗試在端點上執行惡意 SophosCleanM.exe 檔案。CrowdStrike 會停止作業，並在事件資料中建立含有檔案雜湊的快訊。

    分析師對檔案信譽感興趣，因此在 VirusTotal 中執行發現的雜湊，並發現雜湊是惡意的。接著，McAfee EDR 動作會隔離惡意檔案。

  2. 使用者活動稽核事件資料擷取。

    CrowdStrike 使用者 Dani 將偵測狀態從 new 更新為 false-positive。這項使用者動作會建立名為 detection_update 的事件。

    分析師會進行後續追蹤，瞭解 Dani 將動作標示為偽陽性的原因，並檢查擷取的事件，其中包含 Dani 身分相關資訊。

    接著，分析師執行 Active Directory 的「Enrich Entities」動作，取得更多事件詳細資料，並簡化追蹤 Dani 的程序。

  3. 驗證活動稽核事件資料擷取。

    事件指出 Dani 建立了新的使用者帳戶，並授予使用者角色。

    為調查事件並瞭解使用者建立的原因，分析師使用 Dani 的使用者 ID 執行 Active Directory「Enrich Entities」(擴充實體) 動作，並找出 Dani 的使用者角色，確認他們是否有權新增使用者。

  4. 遠端回應結束事件資料擷取。

    遠端事件指出 Dani 遠端連線至特定主機，並以超級使用者身分執行指令，存取網路伺服器目錄。

    為了進一步瞭解 Dani 和相關主機，分析師執行 Active Directory 動作，充實使用者和主機的資訊。根據傳回的資訊，分析師可能會決定將 Dani 停權，直到釐清遠端連線的目的。

連接器輸入

CrowdStrike Falcon Streaming Event Connector 需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 device_product。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 Name。
Environment Field Name 選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Alert Name Template 選用

如有提供，連接器會將這個值用於 Google SecOps 警示名稱。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如未提供值或範本無效，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Event types 選用

以半形逗號分隔的事件類型清單。

事件類型範例如下：

  • DetectionSummaryEvent
  • IncidentSummaryEvent
  • AuthActivityAuditEvent
  • UserActivityAuditEvent
  • RemoteResponseSessionStartEvent
  • RemoteResponseSessionEndEvent
Max Days Backwards 選用

要擷取今天之前幾天的偵測結果。

預設值為 3。
Max Events Per Cycle 選用

單次連接器疊代中要處理的事件數量。

預設值為 10。
Min Severity 選用

根據事件嚴重程度 (偵測事件) 擷取的事件。值介於 0 到 5 之間。

如果除了偵測結果以外，還擷取了其他事件類型，系統會將其嚴重性設為 -1，且這項篩選器不適用於這些事件。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取，整合功能會驗證 CrowdStrike 伺服器連線的 SSL 憑證是否有效。

預設為未選取。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制。

預設值為 60 秒。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。
Rule Generator Template 選用

如有提供，連接器會將這個值用於 Google SecOps 規則產生器。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

如未提供值或範本無效，連接器會使用預設規則產生器。

連接器會使用第一個 Google SecOps 事件做為預留位置。

這個參數只允許使用字串值的鍵。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

這個連接器不支援動態清單。

CrowdStrike Identity Protection Detections 連接器

使用 CrowdStrike Identity Protection Detections 連接器，從 CrowdStrike 提取身分保護偵測資料。動態清單會與 display_name 參數搭配使用。

這個連接器需要 Identity Protection 授權。

連接器輸入

CrowdStrike Identity Protection Detections 連接器需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 behaviors_technique。
Environment Field Name 選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch 選用

要擷取的偵測結果最低嚴重性分數。

如未提供值，連接器就不會套用這項篩選條件。

最大值為 100。

預設值為 50。

連接器也支援這項參數的下列值：

  • Low
  • Medium
  • High
  • Critical
Lowest Confidence Score To Fetch 選用

要擷取的偵測結果最低可信度分數。

如未提供值，連接器就不會套用這項篩選條件。

最大值為 100。

預設值為 0。
Max Hours Backwards 選用

要擷取多久以前的偵測結果 (以小時為單位)。

預設值為 1。
Max Detections To Fetch 選用

單次連接器疊代中要處理的偵測數量。

預設值為 10。
Case Name Template 選用

如果提供，連接器會將名為 custom_case_name 的新金鑰新增至 Google SecOps 事件。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Alert Name Template 選用

如有提供，連接器會將這個值用於 Google SecOps 警示名稱。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如未提供值或範本無效，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取，整合功能會驗證 CrowdStrike 伺服器連線的 SSL 憑證是否有效。

預設為未選取。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

連接器事件

以下是連接器事件範例：

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

已淘汰：CrowdStrike 事件連接器

使用 CrowdStrike Incidents 連接器，從 CrowdStrike 提取事件和相關行為。

動態清單會與 incident_type 參數搭配使用。

連接器參數

CrowdStrike Incidents 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name

這是必填欄位。

包含 Event Field 名稱的來源欄位名稱。

預設值為 data_type。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。如果找不到，則會使用預設環境。

預設值為 ""。
Environment Regex Pattern

選填。

用於操控環境欄位值的規則運算式模式。

使用預設的 .* 擷取原始值。
Script Timeout (Seconds)

這是必填欄位。

Python 程序的逾時限制。

預設值為 180。
API Root

這是必填欄位。

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

這是必填欄位。

CrowdStrike 帳戶的用戶端 ID。
Client Secret

這是必填欄位。

CrowdStrike 帳戶的用戶端密鑰。
Lowest Severity Score To Fetch

選填。

要擷取的事件最低嚴重性分數。支援 Low、Medium、High、Critical 或最大 100 的數值。
Max Hours Backwards

選填。

擷取回溯期 (以小時為單位)。

預設值為 1。
Max Incidents To Fetch

選填。

每次疊代發生的事件數量。上限為 100。

預設值為 10。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，動態清單會做為封鎖清單。
Disable Overflow

選填。

如果選取，則會忽略溢位機制。
Verify SSL

這是必填欄位。

驗證連線的 SSL 憑證。
Proxy Parameters

選填。

包括 Proxy Server Address、Proxy Username 和 Proxy Password。
Customer ID

選填。

多租戶 (MSSP) 環境的租戶 ID。

連接器規則

這個連接器支援 Proxy。

連接器事件

連接器支援兩種事件類型：事件型和行為型。

範例：事件型事件


 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

範例：行為事件


 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

CrowdStrike – 快訊連接器

使用 CrowdStrike – Alerts Connector 從 CrowdStrike 提取警告。動態清單會與 display_name 參數搭配使用。

如要擷取身分保護偵測資料，請使用身分保護偵測連接器。

連接器輸入

CrowdStrike – Alerts Connector 需要下列參數：

參數
Product Field Name 必要

包含 Product Field 名稱的來源欄位名稱。

預設值為 Product Name。
Event Field Name 必要

包含 Event Field 名稱的來源欄位名稱。

預設值為 product。
Environment Field Name 選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會使用預設環境。

預設值為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout (Seconds) 必要

Python 程序執行目前指令碼的逾時限制 (以秒為單位)。

預設值為 180。
API Root 必要

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID 必要

CrowdStrike 帳戶的用戶端 ID。
Client Secret 必要

CrowdStrike 帳戶的用戶端密鑰。
Case Name Template 選用

如果提供，連接器會將名為 custom_case_name 的新金鑰新增至 Google SecOps 事件。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Alert Name Template 選用

如有提供，連接器會將這個值用於 Google SecOps 警示名稱。

您可以使用下列格式提供預留位置：[FIELD_NAME]，例如「網路釣魚 - [event_mailbox]」。

注意：如未提供值或範本無效，連接器會使用預設快訊名稱。連接器會使用第一個 Google SecOps 事件做為預留位置。這個參數只允許使用字串值的鍵。
Lowest Severity Score To Fetch 選用

要擷取的事件最低嚴重性分數。

如未提供值，連接器會擷取所有嚴重程度的事件。

最大值為 100。

連接器也支援這項參數的下列值：
  • 低
  • 中
  • 高
  • 重大

在 CrowdStrike UI 中，相同的值會除以 10。
Max Hours Backwards 選用

要擷取多久以前的事件 (以小時為單位)。

預設值為 1。
Max Alerts To Fetch 選用

單次連接器疊代中要處理的警告數量。

最大值為 100。

預設值為 10。
Use dynamic list as a blocklist 必要

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Disable Overflow 選用

如果選取這個選項，連接器會忽略溢位機制。

預設為未選取。
Verify SSL 必要

如果選取，整合功能會驗證 CrowdStrike 伺服器連線的 SSL 憑證是否有效。

預設為未選取。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。
Customer ID 選用

要執行連接器的租戶客戶 ID。適用於多租戶 (MSSP) 環境。

連接器規則

這個連接器支援 Proxy。

連接器事件

以下是根據快訊觸發事件的範例：

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

Crowdstrike Falcon - 同步處理警告

使用「Crowdstrike Falcon - Sync Alerts」工作，在 Google SecOps 和 Crowdstrike 之間雙向同步處理註解和狀態。

工作要求

為確保工作能識別並同步處理正確的資料，必須符合下列條件：

  • Google SecOps 案件必須包含 Crowdstrike Alert 標記。

  • 如果快訊並非來自「Alerts Connector」或「Identity Protections Detection Connector」，您必須為工作新增 Alert_ID 快訊情境值，才能找出正確的 Crowdstrike 記錄。

作業邏輯

這項工作會分兩個階段同步處理資料。第一階段會將 Crowdstrike 資料同步至 Google SecOps 警告。第二階段會將 Google SecOps 警告資料同步至 Crowdstrike 警告。

工作會使用 Max Hours Backwards 進行初始疊代。對於所有後續要求，工作會使用上次處理的快訊 start_time。

留言同步邏輯

這項工作會使用 last_update_time 篩選留言，並防止重複項目。同步註解會使用下列結構：

  • Sent from Crowdstrike: Crowdstrike {ticket_id}: {comment}

  • 由 Google SecOps 傳送： Google SecOps {case_id}: {comment}

Google SecOps 案件結案註解也會同步至 Crowdstrike，做為註解。

狀態和判定結果對應

在 Google SecOps 關閉快訊時，工作會將對應的 Crowdstrike 快訊狀態更新為 Closed。這項工作也會套用下列分析師判定結果對應：

  • 如果關閉原因為 Malicious，Crowdstrike 判定會設為 True Positive。

  • 如果關閉「Reason」(原因) 為 Not Malicious，Crowdstrike「Verdict」(判定) 會設為 False Positive。

  • 如果是其他關閉原因，狀態會設為 Closed，且不含裁決。

工作參數

Crowdstrike Falcon - Sync Alerts 工作需要下列參數：

參數 說明
Environment Name

這是必填欄位。

工作搜尋警告的環境名稱。

預設值為 Default Environment。
API Root

這是必填欄位。

CrowdStrike 執行個體的 API 根目錄。

預設值為 https://api.crowdstrike.com。
Client ID

這是必填欄位。

Crowdstrike 帳戶的用戶端 ID。
Client Secret

這是必填欄位。

Crowdstrike 帳戶的用戶端密鑰。
Max Hours Backwards

這是必填欄位。

在第一次工作疊代期間，同步處理目前時間前幾小時的警示。

預設值為 24。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Crowdstrike 伺服器時驗證 SSL 憑證。

(預設為啟用)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。