Demo Starten

Integrieren Sie RevealX 360 mit CrowdStrike Falcon SIEM der nächsten Generation

Diese Integration ermöglicht es CrowdStrike Falcon Next-Gen SIEM, Gerät- und Erkennungsdaten mithilfe von Regeln für Erkennungsbenachrichtigungen aus dem ExtraHop-System zu exportieren. Sie können exportierte Daten im SIEM anzeigen, um einen Einblick in die Kommunikation Ihrer Geräte in Ihrer Umgebung zu erhalten und um erkannte Netzwerkbedrohungen einzusehen.

Für diese Integration müssen Sie zwei Aufgaben ausführen. Ein ExtraHop-Administrator muss die Verbindung zwischen dem SIEM und dem ExtraHop-System konfigurieren. Nachdem die Verbindung hergestellt wurde, können Sie Regeln für Erkennungsbenachrichtigungen erstellen das sendet Webhook-Daten an das SIEM.

Die Regeln für Erkennungsbenachrichtigungen, die mit dieser Integration verknüpft sind, sind auf der Integrationskonfigurationsseite sowie auf der Regeln für Benachrichtigungen Tabelle, auf die Sie über die Systemeinstellungen zugreifen können.

Before you begin

Sie müssen die folgenden Systemanforderungen erfüllen:

  • ExtraHop RevealX 360
    • Ihr Benutzerkonto muss Privilegien auf RevealX 360 für System- und Zugriffsadministration.
    • Ihr RevealX 360-System muss mit einem ExtraHop verbunden sein Sensor mit Firmware-Version 9.8 oder höher.
    • Ihr RevealX 360-System muss verbunden mit ExtraHop Cloud Services .
  • Crowdstrike
  1. Loggen Sie sich in RevealX 360 ein.
  2. Klicken Sie auf das Symbol Systemeinstellungen und klicken Sie dann auf Integrationen.
  3. Klicken Sie auf das CrowdStrike Falcon SIEM der nächsten Generation Kachel.
  4. In der API-URL Feld, geben Sie die URL ein, die von der HEC-Connector-Konfiguration bereitgestellt wird, die Webhook-Daten empfängt
  5. In der API-Schlüssel In diesem Feld geben Sie den Schlüssel ein, der die Verbindung zur URL authentifiziert.
  6. Wählen Sie eine der folgenden Verbindungsoptionen:
    Option Bezeichnung
    Direkte Verbindung Wählen Sie diese Option, um eine direkte Verbindung von dieser RevealX 360-Konsole zur angegebenen URL zu konfigurieren.
    Proxy über einen angeschlossenen Sensor Wählen Sie diese Option, wenn Ihr SIEM aufgrund von Firewalls oder anderen Sicherheitskontrollen keine direkte Verbindung von dieser RevealX 360-Konsole aus unterstützt.
    1. Wählen Sie im Dropdownmenü einen verbundenen Sensor aus, der als Proxy fungiert.
    2. (Optional): Wählen Sie Stellen Sie eine Verbindung über den globalen Proxyserver her, der für den ausgewählten Sensor konfiguriert ist um Daten über einen globalen Proxy zu senden. (Nur verfügbar, wenn auf dem ausgewählten Sensor RevealX Enterprise läuft.
  7. Klicken Sie Testevent senden um eine Verbindung zwischen dem ExtraHop-System und dem SIEM-Server herzustellen und eine Testnachricht an den Server zu senden.
    Es wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Konfiguration und testen Sie die Verbindung erneut.
  8. Optional: Wählen Sie Serverzertifikatsüberprüfung überspringen um die Überprüfung des SIEM-Serverzertifikats zu umgehen.
  9. Klicken Sie Speichern.

Erstellen Sie eine Regel für Erkennungsbenachrichtigungen für eine SIEM-Integration

Before you begin

  • Ihr Benutzerkonto muss über Zugriff auf das NDR-Modul verfügen, um Benachrichtigungsregeln für Sicherheitserkennung zu erstellen.
  • Ihr Benutzerkonto muss über NPM-Modulzugriff verfügen, um Benachrichtigungsregeln zur Leistungserkennung zu erstellen.
  • Sie können in den Systemeinstellungen auch Regeln für Erkennungsbenachrichtigungen erstellen. Weitere Informationen finden Sie unter Erstellen Sie eine Regel für Erkennungsbenachrichtigungen.
  1. Loggen Sie sich in RevealX 360 ein.
  2. Klicken Sie auf das Symbol Systemeinstellungen und klicken Sie dann Integrationen.
  3. Klicken Sie auf die Kachel für das SIEM, das das Ziel der Regel für Erkennungsbenachrichtigungen sein soll.
  4. klicken Benachrichtigungsregel hinzufügen.
    Das Benachrichtigungsregel erstellen Das Fenster wird in einer neuen Registerkarte geöffnet und die folgenden Felder sind auf Standardwerte gesetzt.
    • Das Name Das Feld ist auf den Namen des SIEM gesetzt.
    • Das Art der Veranstaltung Feld ist gesetzt auf Sicherheitserkennung.
    • Das Ziel Das Feld ist auf die SIEM-Integration gesetzt.
  5. In der Beschreibung Feld, fügen Sie Informationen zur Benachrichtigungsregel hinzu.
  6. In der Kriterien Abschnitt, klicken Sie Kriterien hinzufügen um Kriterien anzugeben, nach denen eine Benachrichtigung generiert wird.
    • Für Triage empfohlen
    • Mindestrisikobewertung
    • Typ
    • Kategorie
    • MITRE-Technik (nur NDR)
    • Täter
    • Opfer
    • Rolle des Geräts
    • Teilnehmer
    • Standort
    Die Kriterienoptionen entsprechen den Filteroptionen auf der Seite „Erkennungen".
  7. Wählen Sie unter Payload-Optionen aus, ob Sie die senden möchten Standard-Nutzlast oder geben Sie eine benutzerdefinierte JSON-Nutzlast ein.
    • Standard-Nutzlast

      Füllen Sie die Webhook-Nutzlast mit einem Kernsatz von Erkennungsfeldern.

      In der Dropdownliste Payload-Felder hinzufügen können Sie auf zusätzliche Felder klicken, die Sie in die Payload aufnehmen möchten.

    • Benutzerdefinierte Nutzlast
      Geben Sie Ihre eigene Payload direkt in das Fenster Payload (JSON) -Vorschau ein.
      Hinweis:Um eine Standard-Payload anzupassen, kopieren Sie die Payload aus dem Vorschaufenster und wechseln Sie zu Benutzerdefinierte Nutzlastund fügen Sie dann die Payload zur Bearbeitung in das Vorschaufenster ein.

      Sie können auch Beispiel-Payloads aus dem Referenz zur Webhook-Benachrichtigung.

  8. klicken Verbindung testen.
    Eine Nachricht mit dem Titel Testbenachrichtigung wird gesendet, um die Verbindung zu bestätigen.
  9. In der Optionen Abschnitt, der Benachrichtigungsregel aktivieren Das Kontrollkästchen ist standardmäßig aktiviert. Deaktivieren Sie das Kontrollkästchen, um die Benachrichtigungsregel zu deaktivieren.
  10. klicken Speichern.

Nächste Maßnahme

  • Gehen Sie zurück zur Integrationskonfigurationsseite, um zu überprüfen, ob Ihre Regel erstellt und der Tabelle hinzugefügt wurde.
  • klicken Bearbeiten um eine Regel zu ändern oder zu löschen.
Last modified 2024-10-26