Demo Starten

Aufzeichnungen von ExtraHop an CrowdStrike Falcon LogScale senden

Sie können Ihr ExtraHop RevealX Enterprise-System so konfigurieren, dass es Datensätze auf Transaktionsebene zur langfristigen Speicherung an ein CrowdStrike Falcon LogScale-Repository sendet und diese Datensätze dann vom ExtraHop-System und der ExtraHop REST-API abfragt.

Hier sind einige wichtige Überlegungen zur Aktivierung eines LogScale-Repositorys als Recordstore:

  • Die Menge an Recordstore-Lookback, die abgefragt werden kann, wird bestimmt durch Einstellungen für die Datenspeicherung konfiguriert für Ihr LogScale-System.
  • Sie können für jeden ExtraHop-Sensor ein separates LogScale-Repository aktivieren.
  • Von einer ExtraHop-Konsole aus können Sie Datensätze aus LogScale-Repositorys auf allen verbundenen ExtraHop-Sensoren abfragen, sofern diese Repositorys derselben LogScale-Ansicht zugeordnet sind.
  • Wenn alle ExtraHop-Sensoren Datensätze an dasselbe Repository senden, können Sie Recordstore-Einstellungen übertragen und verwalten Sie alle Sensoren von der ExtraHop-Konsole aus.
  • Alle Trigger, die für das Senden von Datensätzen konfiguriert sind commitRecord zu einem Recordstore werden automatisch zum LogScale-Repository umgeleitet. Es ist keine weitere Konfiguration erforderlich.

Aktiviere LogScale als Recordstore

Before you begin

  • Ihr ExtraHop-System muss für den LogScale Recordstore lizenziert sein.
  • Auf Ihrem ExtraHop-System muss die RevealX Enterprise-Firmware-Version 9.5 oder höher ausgeführt werden.
  • Auf jeder Konsole und allen angeschlossenen Sensoren muss dieselbe ExtraHop-Firmware-Version ausgeführt werden.
  • Ihr ExtraHop-Benutzerkonto muss System- und Zugriffsadministrationsrechte.
  • Ihr LogScale-System muss Version 1.111.0 oder höher haben.
  • Ihr LogScale-Benutzerkonto muss über Administratorrechte verfügen.
  • Sie müssen über ein LogScale-Ingest-Token verfügen, das einem Repository oder einem Organisationstoken zugeordnet ist, das die Berechtigung zum Ingest in allen Repositorys innerhalb der Organisation beinhaltet.
  • Sie benötigen ein LogScale-View-Token, das die Zugriffsberechtigung zum Lesen von Daten beinhaltet.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Datensätze auf Plattenladen.
  3. Wählen Aktiviere LogScale als Recordstore.
    Wichtig:Wenn Sie von einem verbundenen ExtraHop-Recordstore zu LogScale migrieren, können Sie nicht mehr auf Datensätze zugreifen, die in diesem ExtraHop-Recordstore gespeichert sind.
  4. In der Verschlucken Geben Sie in diesem Abschnitt die folgenden Informationen über das LogScale-Repository an, das Datensätze aus dem ExtraHop-System aufnehmen und speichern wird:

    Hostnamen aufnehmen: Der Hostname des LogScale-Repositorys.

    Port aufnehmen: Der Port, über den Datensätze an das Repository gesendet werden.

    Repository-Ingest-Token: Das Authentifizierungstoken für die Aufnahme von Daten in LogScale.

  5. In der Abfrage Geben Sie in diesem Abschnitt die folgenden Details zum LogScale API-Server an, der Datensatzabfragen vom ExtraHop-System verarbeitet.

    API-Hostname: Der Hostname des API-Servers.

    API-Anschluss: Der Port, über den Datensatzabfragen an die API gesendet werden.

    Namen ansehen: Der Name der LogScale-Ansicht, die mit dem Repository verbunden ist.

    Token anzeigen: Das Authentifizierungstoken für Abfragen an das LogScale-Repository.

  6. Optional: Wählen Komprimiere ausgehende Datensatz-Payloads mit GZip um die Größe aufgenommener Dateien zu reduzieren.
  7. Klicken Sie Verbindung testen um zu überprüfen, ob Ihr Sensor mit dem LogScale-Repository kommunizieren kann.
  8. Klicken Sie Speichern.
Nachdem Ihre Konfiguration abgeschlossen ist, können Sie Abfrage nach gespeicherten Datensätzen im ExtraHop-System durch Anklicken Rekorde aus dem oberen Navigationsmenü oder aus dem ExtraHop REST-API.

Recordstore-Einstellungen übertragen

Wenn du einen ExtraHop hast Konsole Wenn Sie an Ihre ExtraHop-Sensoren angeschlossen sind, können Sie die Recordstore-Einstellungen auf dem Sensor konfigurieren und verwalten oder die Verwaltung der Einstellungen an den Konsole. Durch die Übertragung und Verwaltung der Recordstore-Einstellungen auf der Konsole können Sie die Recordstore-Einstellungen für mehrere Sensoren auf dem neuesten Stand halten.

Die Recordstore-Einstellungen werden für verbundene Recordstores von Drittanbietern konfiguriert und gelten nicht für den ExtraHop-Recordstore.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Rekorde Abschnitt, klicken Plattenladen.
  3. Aus dem Recordstore-Einstellungen Drop-down-Menü, wählen Sie die Konsole aus und klicken Sie dann auf Inhaberschaft übertragen.
    Wenn Sie sich später dazu entschließen, die Einstellungen auf der Sensor, wählen dieser Sensor aus dem Dropdownmenü Recordstore-Einstellungen und klicken Sie dann auf Inhaberschaft übertragen.
Last modified 2025-02-04