データ マネージャー - Falcon アダプター

はじめに

Falcon とは CrowdStrike が開発したツールで、エンドポイント検出/対応 (EDR) ソフトウェアです。インストールされているデバイスを監視して、悪意のあるアクティビティの兆候がないかを調査し、脅威を封じ込めます。

Falcon Adapter は API 接続によってデータをアセット データ マネージャーに取り込みます。

このツールをアセット データ マネージャーに接続するにはどうすればいいですか?

カスタム ビルドのアダプターを使用して、このツールをアセット データ マネージャーに接続するには、次の手順に従います。

1. 名前、オブジェクト クラス、データ ソース名、データ ソース タイプなど、「データ マネージャー フィールド」のセクションにリストされているすべての情報を収集します。

2. 「Falcon フィールド」セクションにすべての情報を集めます。これを行うには、Falcon に関するエキスパート (SME) への相談が必要となる場合があります。

3. データ マネージャー内:

   1. ご利用のツールに合ったアダプターを選択して、新しいジョブを作成します。

   2. すべての必須フィールドに適切な情報を設定します。

4. Falcon 内:

   1. 認証と承認を適切に設定するには、次の「認証と承認」セクションに記載されているすべての手順に従います。

   2. 呼び出しの概要については、次の「API 呼び出し」セクションの情報をご参照ください。

   3. 以下の「取得したフィールド」セクションの情報をご確認ください。

このジョブが実行されるたびに、選択したデータは、構成されたアダプタを使用してデータ マネージャーに取り込まれ、生データになります。

データ マネージャー フィールド

アセット データ マネージャーから取得した次の情報を指定する必要があります。

1. 名前 - 接続の名前。[アダプター] でジョブ名として表示されます。

2. オブジェクト クラス - データをロードするオブジェクト クラスの名前。

3. データ ソース名 - 作成されるデータのタイプ。通常はツールの名前 (例: AD、Qualys) となります。注意: [名前] と同じ名前でも問題はありません。

4. データ ソース タイプ - ツールが提供するデータのタイプ。たとえば、アセット、CMDB、ユーザーの場所などです。

Falcon フィールド

Falcon からの次の情報を指定する必要があります。

1. API URL: CrowdStrike ソースにアクセスするためのAPI URL。

2. クライアント ID: Crowdstrike でのアカウントのセットアップ時に作成されたクライアント ID。

3. クライアント シークレット: Crowdstrike でのアカウントのセットアップ時に作成されたシークレット文字列。

4. API 制限: API 結果のページ サイズを設定します。"API 制限" フィールドでは、データ マネージャーによって消費され、バックエンドのステージング データベースに転送されるリクエスト/データ (またはレコード) の量を設定できます。

認証と承認

1. API クライアントを作成して、さまざまな目的のために異なるレベルの API アクセスを許可しましょう。

2. 「API クライアントとキー」ページから、OAuth2 API クライアント テーブルで [新しい API クライアントを追加] をクリックします。

3. API クライアントを定義するために、クライアント名 (必須)、説明 (オプション)、API スコープを入力します。

4. [追加] をクリックして API クライアントを保存し、クライアント ID とシークレットを生成します。

API 呼び出し

Falcon の API 呼び出しは Device.Read.All です。

1. アダプター クライアントは API を直接呼び出して、リソース (デバイス) のリストを取得します。

   1. API: {api-url}/devices/queries/devices-scroll/v1?limit={apiLimit}

   2. メソッド: GET

   3. 応答:
      メタ (query_time、ページネーション、powered_by、trace_id)、リソース (文字列のリスト)、エラーの各リスト

2. 次に、リソース (デバイス ID) によって API を呼び出し、デバイス情報を取得します。

   1. API: {api-url}/devices/entities/devices/v2

   2. メソッド: POST

   3. 応答: 次の「フィールド取得」セクションをご参照ください。

取得したフィールド

次のフィールドが取得されます。