Plugin CrowdStrike pour l’échange de risques - Documentation technique Netskope

Ce document explique comment configurer le système CrowdStrike v1.1.0. plugin avec le module Risk Exchange de la plateforme Netskope Cloud Exchange. Ce plugin récupère les hôtes et leurs scores ZTA respectifs à partir de la page Host Setup and Management > Host Management sur le locataire CrowdStrike. Il prend également en charge l'action Add/Remove Tag(s) pour le balisage périphérique et l'action Put RTR Script sur les hôtes.

Calcul du score de normalisation Netskope => CrowdStrike host assessment overall score * 10.

Conditions préalables

Pour réaliser cette intégration, vous avez besoin de :

Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
A Netskope Cloud Exchange tenant with the Tenant plugin and Risk Exchange plugin already configured.
Les informations d'identification de l'instance CrowdStrike (ID client, secret client) pour le jeton API.
Rôle de l'administrateur CrowdStrike Real-Time Response pour l'action Put RTR Script.
Pour chaque plate-forme (Windows, Mac), il doit y avoir une politique de réponse avec une réponse en temps réel (commandes à haut risque) activée.
Connexion à l'hôte suivant : https://falcon.crowdstrike.com.

Support du plugin CrowdStrike

Ce plugin récupère les hôtes et leurs scores ZTA respectifs du locataire CrowdStrike. Il prend également en charge l'action Add/Remove Tag(s) pour le balisage périphérique et l'action Put RTR Script sur les hôtes.

Note

Les scores sont tirés de la page d'évaluation de la confiance zéro de Host Setup and Management > et le reste des détails de l'hôte sont tirés de la page Host Setup and Management > Host Management sur CrowdStrike.

Type de données extraites	Actions soutenues
Hosts/Devices	Mettre le script RTR Ajouter/supprimer une/des balise(s) Pas d'action

Mises en correspondance

La cartographie sera utilisée pour afficher les hôtes tirés et leurs détails respectifs. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois les données extraites. Vous trouverez ci-dessous la cartographie suggérée qui peut être utilisée lors de la configuration du plugin.

Mappage par traction pour les hôtes

Étiquette du champ du plugin	Type de données attendu	Étiquette suggérée pour le champ	Stratégie globale suggérée
ID de l'hôte	String	ID de l'hôte	Unique
Numéro de série du système	String	Numéro de série du système	Overwrite
Note d'évaluation globale	Number	Note d'évaluation globale	Overwrite
Score normalisé de Netskope	Number	Score normalisé	Overwrite
Tags	List	Tags	Overwrite
CID	String	CID	Overwrite
Version agent	String	Version agent	Overwrite
Fabricant du BIOS	String	Fabricant du BIOS	Overwrite
Version du BIOS	String	Version du BIOS	Overwrite
Numéro de construction	String	Numéro de construction	Overwrite
IP externe	String	IP externe	Overwrite
Adresse MAC	String	Adresse MAC	Overwrite
Nom de l'hôte	String	Nom de l'hôte	Overwrite
Première vue	Datetime	Première vue	Overwrite
Dernier utilisateur connecté	String	Dernier utilisateur connecté	Overwrite
Dernière connexion SID de l'utilisateur	String	Dernière connexion SID de l'utilisateur	Overwrite
Dernière visite	Datetime	Dernière visite	Overwrite
Local IP	String	Local IP	Overwrite
Version OS	String	Version OS	Overwrite
Construction du système d'exploitation	String	Construction du système d'exploitation	Overwrite
ID de plateforme	String	ID de plateforme	Overwrite
Nom de la plateforme	String	Nom de la plateforme	Overwrite
État RTR	String	État RTR	Overwrite
Groupes	List	Groupes	Overwrite
Type de produit	String	Type de produit	Overwrite
Description du type de produit	String	Description du type de produit	Overwrite
Statut de la disposition	String	Statut de la disposition	Overwrite
Statut	String	Statut	Overwrite
Fabricant du système	String	Fabricant du système	Overwrite
Nom du produit système	String	Nom du produit système	Overwrite
Horodatage modifié	Datetime	Horodatage modifié	Overwrite
Version du noyau	String	Version du noyau	Overwrite
Nom du produit OS	String	Nom du produit OS	Overwrite
Type de châssis	String	Type de châssis	Overwrite
Description du type de châssis	String	Description du type de châssis	Overwrite
IP de connexion	String	IP de connexion	Overwrite
IP de passerelle par défaut	String	IP de passerelle par défaut	Overwrite
Adresse MAC de connexion	String	Adresse MAC de connexion	Overwrite
État de confinement du système de fichiers	String	État de confinement du système de fichiers	Overwrite
Politiques appliquées	List	Politiques appliquées	Overwrite
Politiques appliquées périphérique	List	Politiques appliquées périphérique	Overwrite

Note

Pour fusionner des enregistrements provenant de plusieurs plugins, vous devez choisir des champs uniques et communs à tous les plugins.
Par exemple : Pour fusionner les enregistrements de Risk Exchange, des plugins Risk Exchange Omnissa Workspace One UEM et Risk Exchange CrowdStrike sous une seule entité, vous pouvez faire du périphérique Serial Number un champ unique afin qu'il soit commun aux trois plugins.

Correspondance entre le score et le fichier (pour l'action mettre RTR Script)

Le mappage mentionné ci-dessous sera pris en compte lorsque l'action Put RTR Script est exécutée sur les hôtes. Un fichier sera créé sur la machine hôte au nom de l'action effectuée. Le nom du fichier dépend de la configuration effectuée par l'utilisateur dans la configuration de l'action. Si une valeur statique de score est fournie, le nom du fichier en dépendra, et si une règle métier est utilisée, le nom du fichier dépendra du score obtenu pour les hôtes.

Score	Nom du fichier
Moins de 26	crwd_zta_1_25.txt
26 à 51	crwd_zta_26_50.txt
51 à 76	crwd_zta_51_75.txt
76 à 100	crwd_zta_76_100.txt

Permissions

Permissions de l'étendue de l'API

Reportez-vous à la section Obtenir l'identifiant et le secret du client pour obtenir et fournir des autorisations sur les champs d'application de l'API.

Champ d'application	Read	Write
Hôtes	Oui	Non
Réponse en temps réel (admin)	–	Oui
Réponse en temps réel	Oui	Non
Évaluation de la confiance zéro	Oui	–

Politique de réponse Permissions

Reportez-vous à la section Ajouter une autorisation pour la politique de réponse (autorisation de script RTR) pour obtenir et fournir des autorisations pour la politique de réponse.

Catégorie	Type	Permission	Statut
Réponse en temps réel	Scripts personnalisés	Scripts Falcon	Activer
Réponse en temps réel	Commandes à haut risque	put	Activer

Note: Les autorisations relatives à la politique de réponse ne sont nécessaires que si vous souhaitez utiliser l'action Put RTR Script.

Note

Les autorisations relatives à la politique de réponse ne sont nécessaires que si vous souhaitez utiliser l'action Put RTR Script.

Détails de l'API

Liste des API utilisées

API Name	Méthode	Endpoint	Champ d'application de l'API
Obtenir un jeton d'authentification	PUBLIER	/oauth2/token	Aucun
Recherche d'enregistrements	OBTENIR	/périphérique/queries/périphérique-scroll/v1	Hôtes (Lire)
Recherche de notes	OBTENIR	/zero-trust-assessment/entities/assessments/v1	Évaluation de la confiance zéro (Lire)
Mettre le fichier sur le nuage RTR	PUBLIER	/real-time-response/entities/put-files/v1	Réponse en temps réel admin (écriture)
Obtenir le nom de la plate-forme	PUBLIER	/devices/entities/devices/v2	Hôtes (Lire)
Vérifier l'existence du script	OBTENIR	/real-time-response/queries/scripts/v1	Réponse en temps réel (Read)
Créer un script de suppression des fichiers de score sur RTR Cloud	PUBLIER	/real-time-response/entities/scripts/v1	Réponse en temps réel admin (écriture)
Obtenir l'identifiant de la session	PUBLIER	/real-time-response/entities/sessions/v1	Réponse en temps réel (Read)
Changer de répertoire	PUBLIER	/real-time-response/entities/admin-command/v1	Réponse en temps réel admin (écriture)
Supprimer le fichier du périphérique	PUBLIER	/real-time-response/entities/admin-command/v1	Réponse en temps réel admin (écriture)
Obtenir l'état de la commande	OBTENIR	/real-time-response/entities/admin-command/v1	Réponse en temps réel admin (écriture)
Mettre le dossier sur périphérique	PUBLIER	/real-time-response/entities/admin-command/v1	Réponse en temps réel admin (écriture)
Supprimer la session	DELETE	/real-time-response/entities/sessions/v1	Réponse en temps réel (Read)
Obtenir les coordonnées de l'hôte	PUBLIER	/devices/entities/devices/v2	Hôtes (lecture + écriture)
Add/Remove Tags	PATCH	/devices/entities/devices/tags/v1	Hôtes (lecture + écriture)

Obtenir un jeton d'authentification

API Endpoint: /oauth2/token
Method: POST
Parameter

Clé	Value
grant_type	client_credentials
client_id	<Client ID>
client_secret	<Client Secret>

Sample API Response

{
 "access_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6InB1YmxpYzphNDdiNTc2MS0zYzk3LTQwMmItOTgzNi0wNmNhODI0NTViOTMiLCJ0eXAiOiJKV1QifQ.eyJhdWQiOltdLCJjbGllbnRfaWQiOiJlZTA5YTc3MjAwNzc0MzYwOTlhYTM5N2M2MTJlYTQzYiIsImV4cCI6MTcwMzI0MDQzOSwiZXh0Ijp7InN1Yl90eXBlIjoiY2xpZW50In0sImlhdCI6MTcwMzIzODYzOSwiaXNzIjoiaHR0cHM6Ly9hcGkuY3Jvd2RzdHJpa2UuY29tLyIsImp0aSI6ImQ5ZTlmZWI4LTM0ODAtNDM2NC1hYzI2LTBhZjgzNDdlOWY2OSIsIm5iZiI6MTcwMzIzODYzOSwic2NwIjpbXSwic3ViIjoiZWUwOWE3NzIwMDc3NDM2MDk5YWEzOTdjNjEyZWE0M2IiLq_wgw5-EAB-hHiRB-coF2Yy_PeP-8IvjWQVIjlDJrRmRQ-s-NmAkm8XaG9GojFZvaT-sufiBxKEDmpdntABNkEG1fcbVvd7tVW-vi36PFPoc3p1t4sbaMhf9_Kts8iAHsv6BudVyFsPhPAreGc2OXUFT39ZvuDTN5BxOFiPT_9_gadXt-7N*************************************************************************************",
 "expires_in": 1799,
 "token_type": "bearer"
}

Recherche d'enregistrements

API endpoint: /devices/queries/devices-scroll/v1

Method: OBTENIR

Parameters

Clé	Value
limit	5000
offset	“”

Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Sample API Response

{
    "meta": {
        "query_time": 0.025422559,
        "pagination": {
            "offset": 1,
            "limit": 1,
            "total": 21
        },
        "powered_by": "device-api",
        "trace_id": "5f1a1eeb-9d8b-4412-8523-0fc933a0bf6f"
    },
    "resources": [
        "89b9743fcb6b4ccaa09600ac5204bac4"
    ],
    "errors": []
}

Recherche de notes

API Endpoint: /zero-trust-assessment/entities/assessments/v1
Method: GET
Parameters

Clé	Value
ids	[<Host Ids>]

Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Sample API Response

{
    "meta": {
        "query_time": 0.003210238,
        "trace_id": "ba076fd9-7340-49f3-a9a2-41b6f2eb94d9"
    },
    "errors": [],
    "resources": [
        {
            "aid": "e039334e8b0e4747bdfc7a29406ec8e1",
            "cid": "c17f3a80ded0418eb107db3d26a27983",
            "system_serial_number": "FVHX2HEDJ1WK",
            "event_platform": "Mac",
            "product_type_desc": "Workstation",
            "modified_time": "2024-05-01T08:42:07Z",
            "sensor_file_status": "confirmed",
            "assessment": {
                "sensor_config": 66,
                "os": 72,
                "overall": 68,
                "version": "3.8.1"
            },
            "assessment_items": {
                "os_signals": [
                    {
                        "signal_id": "mac_os_version",
                        "signal_name": "macOS Version",
                        "group_name": "macOS",
                        "criteria": "macOS version is ≥11.0",
                        "meets_criteria": "yes"
                    }
                ],
                "sensor_signals": [
                    {
                        "signal_id": "ml_cloud_antimalware_detection_mac",
                        "signal_name": "Cloud ML - Cloud Anti-malware - Detection for macOS",
                        "group_name": "Prevention",
                        "criteria": "Cloud ML - Cloud Anti-malware Detection: set to Aggressive or higher",
                        "meets_criteria": "yes"
                    },
                                   ]
            }
        }
    ]
}

Mettre un fichier sur le nuage RTR

API Endpoint: /real-time-response/entities/put-files/v1
Method: POST
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Data

{
  "description": "file representing a ZTA score of 1_25",
  "name": "crwd_zta_1_25.txt",
  "comments_for_audit_log": "uploade file representing a ZTA score of 1_25 for Netskope ZTA-RTR integration"
}

Sample API Response

{
  "meta": {
    "query_time": 0.536670425,
    "writes": {
      "resources_affected": 1
    },
    "powered_by": "empower-api",
    "trace_id": "d4bddc66-83fd-4875-9016-a17899fd83ba"
  }
}

Vérifier l'existence du script

API Endpoint: /réponse-réen-temps/requêtes/scripts/v1
Method: ALLEZ
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Parameters

Clé	Value
filter	name: ‘<Script name>’

API Response

{
    "meta": {
        "query_time": 0.025087906,
        "pagination": {
            "offset": 0,
            "limit": 100,
            "total": 1
        },
        "powered_by": "empower-api",
        "trace_id": "0e9ccedb-58c9-44a9-842c-620977f096b1"
    },
    "resources": [
        "bab3f0ff134311efb74642cd23408b64_ee09a7720077436099aa397c612ea43b"
    ]
}

Créer un script de suppression des fichiers de pointage sur le nuage RTR

API Endpoint: /real-time-response/entities/scripts/v1
Method: POST
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Data

Clé	Value
name	Nom du script
permission_type	public
description	Description du fichier.

Files
Téléchargez le fichier de script.
Pour le script python, ajoutez le tuple ci-dessous dans le paramètre files pour les requêtes

[
                (
                    "file",
                    (
                        "",
                        file,
                        "application/octet-stream",
                    ),
                )
            ]

API Response

{
    "meta": {
        "query_time": 0.947792627,
        "writes": {
            "resources_affected": 1
        },
        "powered_by": "empower-api",
        "trace_id": "eed1850a-0c07-488a-b36d-a70d5e904d71"
    }
}

Obtenir un nom de plate-forme

API Endpoint: /périphérique/entities/périphérique/v2
Method: ALLEZ
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Parameters

Clé	Value
Ids	[<Host ID>]

API Response

{
    "meta": {
        "query_time": 0.001626152,
        "powered_by": "device-api",
        "trace_id": "8adcbd8a-40cd-4086-8e5d-5d3962fb1073"
    },
    "resources": [
        {
            "device_id": "d2abab7b4c6a4d9998b298b19bbda31f",
            "cid": "c17f3a80ded0418eb107db3d26a27983",
            "agent_load_flags": "0",
            "agent_local_time": "2023-12-22T11:19:53.929Z",
            "agent_version": "7.05.17603.0",
            "bios_manufacturer": "Apple Inc.",
            "bios_version": "515.0.0.0.0",
            "config_id_base": "65994753",
            "config_id_build": "17603",
            "config_id_platform": "4",
            "cpu_signature": "526057",
            "external_ip": "117.217.127.213",
            "mac_address": "dc-a9-04-99-43-aa",
            "hostname": "ITs-MacBook-Pro.local",
            "first_seen": "2023-12-18T08:46:57Z",
            "last_login_timestamp": "2023-12-21T08:00:38Z",
            "last_login_user": "it",
            "last_login_uid": "501",
            "last_login_user_sid": "S-1-5-21-1276927669-3124867281-3856135234-2002",
            "last_seen": "2023-12-22T11:46:27Z",
            "local_ip": "172.20.10.87",
            "major_version": "22",
            "minor_version": "6",
            "os_version": "Ventura (13)",
            "os_build": "22G120",
            "platform_id": "1",
            "platform_name": "Mac",
            "policies": [
                {
                    "policy_type": "prevention",
                    "policy_id": "e17fdf411592409794d748e907da9967",
                    "applied": true,
                    "settings_hash": "528b286b",
                    "assigned_date": "2023-12-18T08:48:02.464865254Z",
                    "applied_date": "2023-12-18T08:48:08.608666735Z",
                    "rule_groups": []
                }
            ],
            "reduced_functionality_mode": "yes",
            "device_policies": {
                "prevention": {
                    "policy_type": "prevention",
                    "policy_id": "e17fdf411592409794d748e907da9967",
                    "applied": true,
                    "settings_hash": "528b286b",
                    "assigned_date": "2023-12-18T08:48:02.464865254Z",
                    "applied_date": "2023-12-18T08:48:08.608666735Z",
                    "rule_groups": []
                },
                "sensor_update": {
                    "policy_type": "sensor-update",
                    "policy_id": "766825ba2e2847f8a9134f7f48f44214",
                    "applied": true,
                    "settings_hash": "tagged|3;101",
                    "assigned_date": "2023-12-18T09:00:47.465877148Z",
                    "applied_date": "2023-12-18T09:03:49.721523878Z",
                    "uninstall_protection": "ENABLED"
                },
                "device_control": {
                    "policy_type": "device-control",
                    "policy_id": "6e4a89125c4343f3ab42cbf2fa482702",
                    "applied": true,
                    "assigned_date": "2023-12-18T08:48:02.464932037Z",
                    "applied_date": "2023-12-18T08:49:48.770860727Z"
                },
                "global_config": {
                    "policy_type": "globalconfig",
                    "policy_id": "e2289d74264744f38e62d1146b13189d",
                    "applied": true,
                    "settings_hash": "1fda691c",
                    "assigned_date": "2023-12-22T11:20:01.358167731Z",
                    "applied_date": "2023-12-22T11:21:05.552056147Z"
                },
                "remote_response": {
                    "policy_type": "remote-response",
                    "policy_id": "70d43a45f67149e8b54c8d80ac00df10",
                    "applied": true,
                    "settings_hash": "797eb425",
                    "assigned_date": "2023-12-18T08:48:02.464926863Z",
                    "applied_date": "2023-12-18T08:48:08.689092082Z"
                },
                "firewall": {
                    "policy_type": "firewall",
                    "policy_id": "b1a5ff10a3c44f66a47c7f08f2e372e5",
                    "applied": true,
                    "assigned_date": "2023-12-18T08:48:02.464940776Z",
                    "applied_date": "2023-12-18T08:48:08.752377285Z",
                    "rule_set_id": "b1a5ff10a3c44f66a47c7f08f2e372e5"
                }
            },
            "groups": [],
            "group_hash": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "product_type_desc": "Workstation",
            "provision_status": "Provisioned",
            "serial_number": "C02V10FEHV2T",
            "status": "normal",
            "system_manufacturer": "Apple Inc.",
            "system_product_name": "MacBookPro14,2",
            "tags": [],
            "modified_timestamp": "2023-12-22T11:46:35Z",
            "meta": {
                "version": "110",
                "version_string": "6:10864108136"
            },
            "kernel_version": "22.6.0",
            "chassis_type": "9",
            "chassis_type_desc": "Laptop"
        }
    ],
    "errors": null
}

Obtenir un identifiant de session

API Endpoint: Réponse en temps réel/entités/sessions/v1
Method: PUBLICATION
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0
Content-Type	application/json

Data

Clé	Value
device_id	<Device ID><ID de l’appareil>
origin	Netskope
queue_offline	Vrai

Sample API Response

{
    "meta": {
        "query_time": 0.315515137,
        "powered_by": "empower-api",
        "trace_id": "0483a37f-896b-4bb3-bf1e-8f8b3618a2e2"
    },
    "resources": [
        {
            "session_id": "a26ad68e-1272-482b-95b5-78ee27344d80",
            "scripts": [
                {
                    "command": "cat",
                    "description": "Read a file from disk and display as ASCII",
                    "examples": "cat foo.txt\r\ncat -n foo.txt\r\ncat -t foo.txt\r\ncat -t -n foo.txt",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": [
                        {
                            "id": 582,
                            "created_at": "2019-07-03T18:52:15Z",
                            "updated_at": "2019-07-03T18:52:15Z",
                            "script_id": 527,
                            "arg_type": "arg",
                            "data_type": "string",
                            "requires_value": false,
                            "arg_name": "Path",
                            "description": "path to cat",
                            "default_value": "",
                            "required": true,
                            "sequence": 1,
                            "options": null,
                            "encoding": "",
                            "command_level": "non-destructive"
                        },
                        {
                    "command": "getsid",
                    "description": "Enumerate local users and Security Identifiers (SID)",
                    "examples": "getsid\r\n    List all users and associated SIDs\r\ngetsid foo\r\n    List users and associated SIDs matching substring \"foo\"",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": [
                        {
                            "id": 661,
                            "created_at": "2020-04-02T03:31:02Z",
                            "updated_at": "2020-04-02T03:31:02Z",
                            "script_id": 557,
                            "arg_type": "arg",
                            "data_type": "string",
                            "requires_value": false,
                            "arg_name": "UserName",
                            "description": "Partial or full username to filter results",
                            "default_value": "",
                            "required": false,
                            "sequence": 1,
                            "options": null,
                            "encoding": "",
                            "command_level": "non-destructive"
                        }
                    ]
                },
                {
                    "command": "ls",
                    "description": "Display the contents of the specified path",
                    "examples": "ls\r\nls -l\r\nls -L\r\nls -t\r\nls -l -@\r\nls -R\r\nls -l -R\r\nls -l -t -R -L",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": [
                        {
                            "id": 576,
                            "created_at": "2019-07-03T18:51:13Z",
                            "updated_at": "2019-07-03T18:51:13Z",
                            "script_id": 526,
                            "arg_type": "arg",
                            "data_type": "string",
                            "requires_value": false,
                            "arg_name": "Path",
                            "description": "Path ",
                            "default_value": ".",
                            "required": false,
                            "sequence": 1,
                            "options": null,
                            "encoding": "",
                            "command_level": "non-destructive"
                        }                    ]
                },
                {
                    "command": "mount",
                    "description": "List or mount filesystem volumes",
                    "examples": "Executable by all RTR roles:\r\nmount\r\nExecutable by privileged RTR users only:\r\nmount -t=nfs \"host:/exports/filesystem\" \"/mnt/filesystem\"\r\n    Mount the NFS filesystem located at \"/exports/filesystem\" on \"host\" to the local destination \"/mnt/filesystem\"\r\nmount -t=smbfs \"//user:password@host/filesystem\" \"/mnt/mountpoint\"\r\n    Mount the SMB \"/filesystem\" on \"host\" as \"user\" with \"password\" to \"/mnt/mountpoint\"\r\nmount -t=smbfs -o=nobrowse \"//user:password@host/filesystem\" \"/mnt/mountpoint\"\r\n    Mount the SMB \"/filesystem\" with option \"nobrowse\" on \"host\" as \"user\" with \"password\" to \"/mnt/mountpoint\"",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": []
                },
                {
                    "command": "netstat",
                    "description": "Display routing information or network connections",
                    "examples": "netstat\r\nnetstat -nr",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": [
                            {
                            "id": 973,
                            "created_at": "2023-11-20T23:23:37Z",
                            "updated_at": "2023-11-20T23:23:37Z",
                            "script_id": 539,
                            "arg_type": "flag",
                            "data_type": "string",
                            "requires_value": false,
                            "arg_name": "n",
                            "description": "Flag to show network addresses as numbers",
                            "default_value": "",
                            "required": false,
                            "sequence": 2,
                            "options": null,
                            "encoding": "",
                            "command_level": "non-destructive"
                        }
                    ]
                },
                {
                    "command": "users",
                    "description": "Get details about local users",
                    "examples": "users\r\n    List details about all local users\r\nusers foo\r\n    List details about local user \"foo\"",
                    "internal_only": false,
                    "runnable": true,
                    "sub_commands": [],
                    "args": [
                        {
                            "id": 679,
                            "created_at": "2020-04-02T03:31:12Z",
                            "updated_at": "2020-04-02T03:31:12Z",
                            "script_id": 565,
                            "arg_type": "arg",
                            "data_type": "string",
                            "requires_value": false,
                            "arg_name": "UserName",
                            "description": "Username to filter results",
                            "default_value": "",
                            "required": false,
                            "sequence": 1,
                            "options": null,
                            "encoding": "",
                            "command_level": "non-destructive"
                        }
                    ]
                }
            ],
            "existing_aid_sessions": 1,
            "created_at": "2023-12-22T15:47:24.904481922Z",
            "offline_queued": true
        }
    ],
    "errors": null
}

Modifier un répertoire

API Endpoint: /real-time-response/entities/admin-command/v1

Method: PUBLIER
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Data

Clé	Value
base_command	cd
command_string	cd "/Library/Application Support/Netskope/STAgent" ou cd "C:\NProgram Files (x86)\NNetskope\NSTAgent"
persist	Vrai
session_id	30b171e9-26ca-4856-b00e-10d5c4be765e

Sample API Response

{
    "meta": {
        "query_time": 0.052249291,
        "powered_by": "empower-api",
        "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
    },
    "resources": [
        {
            "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
            "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
            "queued_command_offline": false
        }
    ],
    "errors": null
}

Mettre un dossier sur un périphérique

API Endpoint: /real-time-response/entities/admin-command/v1

Method: PUBLIER
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Data

Clé	Value
base_command	put
command_string	put crwd_zta_1_25.txt
persist	Vrai
session_id	<Session ID>

Sample API Response

{
    "meta": {
        "query_time": 0.052249291,
        "powered_by": "empower-api",
        "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
    },
    "resources": [
        {
            "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
            "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
            "queued_command_offline": false
        }
    ],
    "errors": null
}

Supprimer un fichier d'un périphérique

API Endpoint: /real-time-response/entities/admin-command/v1

Method: PUBLIER
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Data

Clé	Value
base_command	rm
command_string	rm crwd_zta_1_25.txt
persist	Vrai
session_id	30b171e9-26ca-4856-b00e-10d5c4be765e

Sample API Response

{
    "meta": {
        "query_time": 0.052249291,
        "powered_by": "empower-api",
        "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
    },
    "resources": [
        {
            "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
            "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
            "queued_command_offline": false
        }
    ],
    "errors": null
}

Obtenir l'état d'une commande

API Endpoint: /real-time-response/entities/admin-command/v1
Method: GET
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Parameters

Clé	Value
cloud_request_id	399d6ed9-e2c5-4e72-8618-97515f69dc72
sequence_id	0

Sample API Response

{
    "meta": {
        "query_time": 0.30452861,
        "powered_by": "empower-api",
        "trace_id": "f2fbc47d-a6e5-4ddf-9bb0-778fd7b32017"
    },
    "resources": [
        {
            "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
            "task_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
            "complete": true,
            "stdout": "",
            "stderr": "/Library/Application Support/Netskope/STAgent does not exist\n",
            "base_command": "cd"
        }
    ],
    "errors": []
}

Supprimer une session

API Endpoint: /real-time-response/entities/sessions/v1

Method: DELETE
Headers

Clé	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0
Content-Type	application/json

Parameter

Clé	Value
session_id	30b171e9-26ca-4856-b00e-10d5c4be765e

Sample API Response

Status code: 204
No Content

Récupérer les détails de l'hôte

API endpoint: /devices/entities/devices/v2

Method: PUBLIER

Parameters

Key	Value
ids	[Liste d'ID d'hôtes pour lesquels des détails doivent être recherchés].

Headers

Key	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Sample API Response

{
    "meta": {
        "query_time": 0.117260667,
        "powered_by": "device-api",
        "trace_id": "0a85703e-2de1-49e5-b6e4-f2bd0d34089e"
    },
    "resources": [
        {
            "device_id": "ea72524ea4ad4b27972d243ecbaa1301",
            "cid": "c17f3a80ded0418eb107db3d26a27983",
            "agent_load_flags": "17",
            "agent_local_time": "2025-09-24T06:32:54.445Z",
            "agent_version": "7.26.19811.0",
            "bios_manufacturer": "Amazon EC2",
            "bios_version": "1.0",
            "build_number": "20348",
            "config_id_base": "65994767",
            "config_id_build": "19811",
            "config_id_platform": "3",
            "cpu_signature": "526072",
            "cpu_vendor": "0",
            "external_ip": "3.94.32.239",
            "mac_address": "0e-2d-ab-80-66-21",
            "instance_id": "i-029d628a3ccff68b2",
            "service_provider": "AWS_EC2_V2",
            "service_provider_account_id": "697148468905",
            "hostname": "WSAMZN-ITJAV0IR",
            "filesystem_containment_status": "normal",
            "first_seen": "2025-05-30T19:36:27Z",
            "last_login_timestamp": "2025-06-02T19:53:00Z",
            "last_login_user": "admin01",
            "last_login_user_sid": "S-1-5-21-1855757304-2032728104-4068347724-1147",
            "last_seen": "2025-09-24T06:34:07Z",
            "local_ip": "198.19.158.136",
            "machine_domain": "Test.com",
            "major_version": "10",
            "minor_version": "0",
            "os_version": "Windows Server 2022",
            "os_build": "20348",
            "ou": [
                "Computers",
                "Test"
            ],
            "platform_id": "0",
            "platform_name": "Windows",
            "policies": [
                {
                    "policy_type": "prevention",
                    "policy_id": "07edbe6317064e6bace102d489e9e19a",
                    "applied": true,
                    "settings_hash": "9ad81c1b",
                    "assigned_date": "2025-05-30T19:37:40.446318344Z",
                    "applied_date": "2025-05-30T19:37:50.956236409Z",
                    "rule_groups": [
                        "6872ddd9b48f46feb1d4abf2d3542310"
                    ]
                }
            ],
            "reduced_functionality_mode": "no",
            "rtr_state": "enabled",
            "device_policies": {
                "prevention": {
                    "policy_type": "prevention",
                    "policy_id": "07edbe6317064e6bace102d489e9e19a",
                    "applied": true,
                    "settings_hash": "9ad81c1b",
                    "assigned_date": "2025-05-30T19:37:40.446318344Z",
                    "applied_date": "2025-05-30T19:37:50.956236409Z",
                    "rule_groups": [
                        "6872ddd9b48f46feb1d4abf2d3542310"
                    ]
                },
                "sensor_update": {
                    "policy_type": "sensor-update",
                    "policy_id": "e306abdd429c43c3950543f22662bb15",
                    "applied": true,
                    "settings_hash": "tagged|2;101",
                    "assigned_date": "2025-08-27T04:11:41.092429921Z",
                    "applied_date": "2025-08-27T04:13:01.950732526Z",
                    "uninstall_protection": "ENABLED"
                },
                "device_control": {
                    "policy_type": "device-control",
                    "policy_id": "61c165fc44cd4a4d920aada842fd0e6c",
                    "applied": true,
                    "settings_hash": "e53be076",
                    "assigned_date": "2025-05-30T19:37:40.446402575Z",
                    "applied_date": "2025-05-30T19:37:51.181527598Z"
                },
                "global_config": {
                    "policy_type": "globalconfig",
                    "policy_id": "bc920818ad0046238a4f7565a97b1ffa",
                    "applied": true,
                    "settings_hash": "6f3f73f5",
                    "assigned_date": "2025-09-24T04:06:34.523107331Z",
                    "applied_date": "2025-09-24T06:39:09.987097062Z"
                },
                "remote_response": {
                    "policy_type": "remote-response",
                    "policy_id": "e18954cfc9dd4707a4b7e7209614b38f",
                    "applied": true,
                    "settings_hash": "797eb425",
                    "assigned_date": "2025-05-30T19:37:40.446118335Z",
                    "applied_date": "2025-05-30T19:37:50.946803441Z"
                },
                "firewall": {
                    "policy_type": "firewall",
                    "policy_id": "046a320f8aa5446ba46ff168dad25b21",
                    "applied": true,
                    "settings_hash": "f5bd3b38",
                    "assigned_date": "2025-05-30T19:37:40.445507286Z",
                    "applied_date": "2025-05-30T19:37:51.191633303Z",
                    "rule_set_id": "046a320f8aa5446ba46ff168dad25b21"
                },
                "system-tray": {
                    "policy_type": "system-tray",
                    "policy_id": "21166876996942fea6826e86af5d8851",
                    "applied": true,
                    "settings_hash": "64111ecabb0f2fff301bef6007dd2792f26df4fe37d52475b301883d5d05a856",
                    "assigned_date": "2025-05-30T19:37:40.44621436Z",
                    "applied_date": "2025-05-30T19:37:50.979483198Z"
                },
                "it-automation": {
                    "policy_type": "it-automation",
                    "policy_id": "e5023d7fe0f04d079aa6781ea551b7b7",
                    "applied": true,
                    "settings_hash": "8b2dd4644a0b8d81afb2b5abb021036c15740677d05e981c9ec52aeed3795d40",
                    "assigned_date": "2025-08-01T04:04:54.664467601Z",
                    "applied_date": "2025-08-01T04:06:34.647303444Z"
                },
                "host-retention": {
                    "policy_type": "host-retention",
                    "policy_id": "2bc7c08cc62542a5aecdcf7ee6ef0521",
                    "applied": true,
                    "settings_hash": "fce339fc6cbb4dae36929fe363a81368f4a7e3f2c3a3d62ff7e3ef202ee48df5",
                    "assigned_date": "2025-05-30T19:37:40.445855778Z",
                    "applied_date": "2025-05-30T19:37:51.027363767Z"
                },
                "browser-extension": {
                    "policy_type": "browser-extension",
                    "policy_id": "73a923145bde4185952e565997e98e76",
                    "applied": true,
                    "settings_hash": "703a53a9569764fe0169ebc6af5d0f4e1646ee9c933ddfae4aed2b89244ac704",
                    "assigned_date": "2025-05-30T19:40:27.187530564Z",
                    "applied_date": "2025-05-30T19:45:38.428436061Z"
                },
                "content-update": {
                    "policy_type": "content-update",
                    "policy_id": "3854f9273d2e40dd8b2cb38a6cb5723e",
                    "applied": true,
                    "settings_hash": "12843283258447456940",
                    "assigned_date": "2025-05-30T19:37:40.445946984Z",
                    "applied_date": "2025-05-30T19:37:40.445946984Z"
                }
            },
            "groups": [],
            "group_hash": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "product_type": "3",
            "product_type_desc": "Server",
            "provision_status": "Provisioned",
            "serial_number": "ec2b81ea-aff2-8ace-e98e-e084a7c87951",
            "service_pack_minor": "0",
            "pointer_size": "8",
            "site_name": "Default-First-Site-Name",
            "status": "normal",
            "system_manufacturer": "Amazon EC2",
            "system_product_name": "m7i-flex.large",
            "tags": [],
            "modified_timestamp": "2025-09-24T06:39:10Z",
            "meta": {
                "version": "252",
                "version_string": "14:40353731180"
            },
            "zone_group": "us-east-1b",
            "kernel_version": "10.0.20348.4163",
            "os_product_name": "Windows Server 2022 Datacenter",
            "chassis_type": "1",
            "chassis_type_desc": "Other",
            "last_reboot": "2025-09-24T06:32:46Z",
            "pod_labels": [],
            "pod_annotations": [],
            "connection_ip": "172.30.0.131",
            "default_gateway_ip": "172.30.0.1",
            "connection_mac_address": "0e-98-05-92-b0-8b"
        }
    ],
    "errors": null
}

Ajouter / supprimer des balises des hôtes

API endpoint: /devices/entities/devices/tags/v1

Method: PATCH

Parameters

Key	Value
action	add/remove
device_ids	[Liste des identifiants des hôtes sur lesquels l'action doit être effectuée].
tags	[Liste des balises qui doivent être ajoutées / supprimées des hôtes].

Headers

Key	Value
Authorization	Bearer <Bearer Token>
User-Agent	netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Sample API Response

{
    "meta": {
        "query_time": 0.306923974,
        "powered_by": "device-api",
        "trace_id": "f7e2c5a0-7678-40c0-8c64-1beaa19a3aad"
    },
    "resources": [
        {
            "device_id": "6b19e5d6f58140f895d3d9e74c3effaf",
            "updated": true,
            "code": 200
        }
    ],
    "errors": null
}

Matrice de performance

Vous trouverez ci-dessous la matrice de performance réalisée sur une grande pile CE avec les spécifications mentionnées ci-dessous en tirant 500k Hosts/périphérique.

Description	Spécifications
Taille de la pile	Taille : Grande RAM : 32 GB Cœur : 16
Temps nécessaire pour stocker les 500k enregistrements Host/périphérique tirés et mis à jour	~80 minutes

Note

Nous avons validé le plugin avec Microsoft (windows), Linux, macOS, et IOS périphérique.

Agent utilisateur

netskope-ce-6.0.0-cre-crowdstrike/1.1.0

Workflow

Obtenez votre numéro de client et votre secret de client.
Ajout d'une autorisation pour le script RTR
Configurez le plugin CrowdStrike.
Ajouter une règle de gestion.
Ajouter des actions.
Validez le plugin.

Regardez une vidéo

Cliquez sur "play" pour regarder une vidéo :

Obtenez votre identifiant et votre secret client

Dans CrowdStrike, allez à Support and resources > API clients and keys.

Cliquez sur Create API Client.

Ajoutez les lunettes de vue suivantes pour le plugin CrowdStrike, puis cliquez sur Save.
API Scopes Permissions

Scope Read Write
Hôtes Oui Oui
Réponse en temps réel (admin) – Oui
Réponse en temps réel Oui Oui
Évaluation de la confiance zéro Oui –

Scope	Read	Write
Hôtes	Oui	Oui
Réponse en temps réel (admin)	–	Oui
Réponse en temps réel	Oui	Oui
Évaluation de la confiance zéro	Oui	–

Faites une copie de l'identifiant et du secret du client. Ils sont nécessaires pour configurer le plugin.

Ajouter une autorisation pour une politique de réponse (autorisation de script RTR)

Connectez-vous à Falcon CrowdStrike.
Cliquez sur le bouton de menu dans le coin supérieur gauche et allez à Host setup and management > Response policies.

Pour Windows, accédez à la stratégie à utiliser et cliquez sur le nom de la stratégie.
Activez ces autorisations.
Response Policy Permissions

Category Type Permission Status
Réponse en temps réel Scripts personnalisés Scripts Falcon Activer
Réponse en temps réel Commandes à haut risque put Activer

Consultez également la capture d'écran ci-dessous.

Vous pouvez également accéder directement à votre hôte à partir de Host setup and management > Host management. Cliquez sur votre nom d'hôte et descendez jusqu'aux informations sur la politique de réponse, puis cliquez sur le nom de la politique dans le menu contextuel de gauche.

Configurer le plugin CrowdStrike

Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin CrowdStrike v1.1.0 (CRE).

Ajoutez un nom de configuration du plugin et modifiez l'intervalle de synchronisation si nécessaire.

Cliquez sur Next et saisissez l'URL de base, l'ID du client, le secret du client et le score maximum. (Le score maximum est le paramètre de configuration par lequel le plugin récupère les scores des hôtes inférieurs ou égaux à une valeur donnée).

Cliquez sur Next, sélectionnez une entité dans la liste déroulante Entité et saisissez les correspondances entre les champs en fonction de vos besoins.

Note

Le champ ID de l'hôte sera nécessaire pour extraire les hôtes et pour effectuer des actions sur les hôtes.

Pour créer un champ New sous n'importe quelle entité, cliquez sur Add Field.

Indiquez l'intitulé du champ et le type de données, définissez Unique (ou non), sélectionnez la stratégie d'agrégation, puis cliquez sur Save.

Correspondances suggérées :

Cliquez sur Save.

Ajouter une règle de gestion de l'échange de risques pour CrowdStrike

Dans Risk Exchange, allez à Business Rules.
Cliquez sur Create New Rule.
Entrez un nom de règle et sélectionnez l'entité pour les champs qui ont été configurés pour le plugin CrowdStrike. Configurez la requête en fonction de vos besoins. Cet exemple filtre l'hôte avec le nom d'hôte tel que Dev l'a récupéré du plugin CrowdStrike.

Cliquez sur Save.

Ajoutez des actions d'échange de risques pour CrowdStrike

CrowdStrike prend en charge ces types d'actions :

Ajouter/supprimer une/des balise(s) : Cette action permet aux utilisateurs d'ajouter ou de supprimer des balises de l'hôte.
Mettre un script RTR : L'action Put RTR Script placera un fichier sur l'hôte en fonction de leur score respectif.
Pas d'action : Aucune action ne sera effectuée pour cette action. Les utilisateurs peuvent générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant l'option Générer des alertes.

Note

Vous pouvez effectuer les actions sur les hôtes tirés de CrowdStrike sur le locataire Netskope, pour effectuer les actions liées à l'utilisateur sur Netskope.

Add/Remove Tags

Allez dans Risk Exchange > Actions et cliquez sur Add Action Configuration.
Select la règle de gestion, la configuration et l'action d'ajout/suppression de balises requises dans leur liste déroulante respective.
Enter the Action Parameters:
- Action Type: Ce champ doit être statique. Vous pouvez sélectionner Ajouter des balises ou Supprimer des balises en fonction de vos besoins.
- Host ID: Ce champ peut être mappé au champ Source Host ID, ou peut être statique où les utilisateurs peuvent fournir l'ID de l'hôte sous forme de chaîne.
- Tag(s): Vous pouvez fournir des valeurs séparées par des virgules pour les balises en fonction de vos besoins. Format : Tag1,Tag2,Tag3.

Activez la case à cocher Require Approval si une approbation est nécessaire avant d'effectuer une action sur les hôtes.
Cliquez sur Save.

Mettre le script RTR en action

Allez dans Risk Exchange > Actions et cliquez sur Add Action Configuration.
Select la règle de gestion et la configuration requises dans leur liste déroulante respective.
Pour Action, sélectionnez Put RTR Script et choisissez les paramètres d'action dans leurs listes déroulantes respectives.
Activez la case à cocher Require Approval si une approbation est nécessaire avant d'effectuer une action sur les hôtes.
Note
- Si l'option Statique est sélectionnée dans le menu déroulant Score et qu'une valeur est fournie, cette dernière sera considérée comme le score lors de l'exécution de l'action Put RTR Script.
- Les champs associés à l'ID de l'hôte lors de la configuration du plugin seront nécessaires pour effectuer des actions sur les hôtes.

Cliquez sur Save.

No Action

Allez à Actions et cliquez sur Add Action Configuration.
Select une règle de gestion et une configuration (votre plugin).
Pour Actions, sélectionnez No actions dans le menu déroulant et, si vous le souhaitez, activez la case à cocher Générer une alerte pour générer des alertes dans le module Ticket Orchestrator.
Activez la case à cocher Require Approval si une approbation est nécessaire avant d'effectuer une action sur les utilisateurs.
Cliquez sur Save.

Valider le plugin CrowdStrike

Valider dans Cloud Exchange

Dans Risk Exchange, allez sur Records et localisez l'entité qui a été sélectionnée lors de la configuration du mappage des champs pour les agents/hôtes afin de visualiser les agents/hôtes tirés.

Allez sur Logging et recherchez les journaux du plugin.

Rendez-vous sur Logging pour vérifier l'action effectuée sur un hôte. Vous pouvez appliquer le filtre en utilisant le nom du plugin ou le nom de la configuration du plugin.
Journaux pour l'action Ajouter/Supprimer une étiquette :

Journaux pour l'action Put RTR Script :

Lorsqu’un utilisateur correspond à l’une des règles métier configurées, l’action configurée est effectuée sur l’utilisateur. Cela peut être constaté dans Action Logs.

Valider dans CrowdStrike

Les informations relatives aux risques (scores) des hôtes sont extraites de Host Setup and Management > Zero trust assessment dans CrowdStrike.

Les étiquettes et autres détails associés aux hôtes sont tirés de Host Setup and Management > Host management dans CrowdStrike.

Pour l'action Ajouter/Supprimer une balise :

Vous pouvez filtrer l'hôte à l'aide du nom ou de l'identifiant de l'hôte, puis vérifier les balises ajoutées/supprimées dans le champ Balises pour cet hôte particulier.

Si vous souhaitez valider l'action Put RTR Script et vérifier le fichier ajouté sur la machine hôte, voici le site workflow pour l'action Put RTR Script avec ses étapes de validation.

Workflow

Step 1: Check Host Existence

Lorsque l'action est déclenchée, le plugin vérifie d'abord si l'hôte avec l'ID d'hôte donné existe sur la plateforme CrowdStrike.

Step 2: Evaluate a Host Presence

Si l'hôte n'existe pas, le plugin n'effectue aucune action supplémentaire et émet un avertissement.

Si l'hôte existe, le plugin procède aux opérations suivantes.

Step 3: Create Score Files on the RTR Cloud

Le plugin crée un fichier pour chaque plage de score de risque sur le nuage RTR.

Par exemple, si le score est compris entre 1 et 25, le fichier est nommé crwd_zta_1_25.txt.

Si un fichier portant le même nom existe déjà, l'API ne créera pas de fichier New.

Step 4: Establish a Host Session

Une fois les fichiers nécessaires créés, le plugin ouvre une session avec l'hôte à l'aide de l'ID de l'hôte.

Step 5: Retrieve Host OS

Le plugin récupère les informations relatives au système d'exploitation (OS) de l'hôte concerné.

Step 6: Change Directory Based on OS

En fonction du système d'exploitation de l'hôte, le plugin envoie un appel API pour modifier le répertoire à l'emplacement approprié.

For Mac: cd “/Library/Application Support/Netskope/STAgent”
For Windows: cd “/Program Files (x86)/Netskope/STAgent”

Le plugin attend jusqu'à 5 minutes l'exécution de la commande. Si le délai est plus long, une erreur de dépassement de délai est signalée. Ce délai s'applique aux commandes des étapes 6, 7 et 8.

Step 7: Check if the script for removal of file for OS is present on RTR Cloud

Afin de supprimer les fichiers existants de la machine hôte, le plugin doit vérifier si la suppression du script existe déjà sur RTR Cloud ou non.

Comme l'action Put RTR Script prend en charge Windows et macOS, les fichiers Windows Score File Removal Script et Mac Score File Removal Script doivent être présents sur le RTR Cloud.

Step 8: Create script if it does not exist on RTR cloud

Si le script pour le système d'exploitation concerné n'existe pas sur RTR Cloud, créez-en un.

Step 9: Remove existing files from host machine

Exécutez le script pour le système d'exploitation respectif de la machine hôte afin de supprimer les fichiers existants.

Step 10: Upload New Score File

Après avoir supprimé les anciens fichiers de score, le plugin exécute une commande put pour télécharger le fichier de score New.

Si le score existant était de 12 (nécessitant crwd_zta_1_25.txt), et que le score passe à 48, le fichier New (crwd_zta_26_50.txt) est téléchargé.

Step 11: Delete Host Session

Après avoir effectué toutes les étapes, le plugin supprime la session créée avec l'hôte afin de libérer des ressources et d'assurer un nettoyage adéquat.

Steps to Validate an Action on CrowdStrike

Sur CrowdStrike, allez sur Host setup and management > Host management.
Recherchez votre hôte à l'aide de votre nom d'hôte ou de votre ID d'hôte. Cliquez sur le nom d'hôte.
Dans le menu contextuel de gauche, cliquez sur Settings icon > Connect to Host.

Pour vérifier le fichier ajouté sur l'hôte, allez sur le chemin ci-dessous après vous être connecté à l'hôte et vérifiez le fichier de score créé.

Pour Windows : C:\\Program Files (x86)\\Netskope\\STAgent

Pour Mac : /Library/Application Support/Netskope/STAgent

Dépannage du plugin CrowdStrike

Impossible de configurer le plugin CrowdStrike

Si vous n'arrivez pas à configurer le plugin CrowdStrike, cela peut être dû à l'une des raisons suivantes :

Fourni un identifiant de client et un secret de client incorrects.
Les informations d'identification fournies ne disposent pas d'autorisations suffisantes.

What to do:

Pour obtenir l'identifiant et le secret du client, suivez les étapes décrites dans la section Obtenir votre identifiant et votre secret du client.
Pour fournir les autorisations appropriées au paramètre de configuration, suivez les étapes décrites dans la section Ajouter une autorisation pour une politique de réponse.

Impossible d'extraire des hôtes

Si vous n'arrivez pas à extraire des hôtes du plugin CrowdStrike, cela peut être dû à l'une des raisons suivantes :

Aucun hôte n'est présent sur la plateforme CrowdStrike.
Une erreur est survenue lors du retrait des hôtes de la plate-forme.
Le mappage n'est pas ajouté lors de la configuration du plugin dans la page source de l'entité.

What to do:

Vérifiez sur la plateforme CrowdStrike si Hosts existe ou non.
Réception d'une erreur 500 : Le serveur pourrait être en panne. Attendez un peu et vérifiez plus tard.
Réception d'une erreur 403 : Le paramètre de configuration du plugin ne dispose pas d'autorisations suffisantes ou les informations d'identification n'existent plus. Vérifiez les autorisations pour l'identifiant et le secret du client.
S’il n’y a pas d’erreur dans les journaux, il se peut que les hôtes ne soient pas disponibles sur la plateforme pour extraire. Vérifiez l’hôte disponible sur CrowdStrike et confirmez-le.
Assurez-vous que le mappage est ajouté et que le champ Host ID est mappé lors de la configuration du plugin.

Impossible de récupérer les scores de l'hôte tiré au sort

Si vous n'êtes pas en mesure d'obtenir les scores de tous les hôtes ou de certains d'entre eux à partir de la plate-forme, cela peut être dû à l'une des raisons suivantes :

Valeur maximale du score fournie dans la configuration du plugin.
Le champ score n'est pas mappé lors de la configuration du plugin.

What to do:

Consultez la page des paramètres de configuration du plugin. Augmentez la valeur du score maximum dans la configuration du plugin. Le plugin extrait les scores de l'hôte dont la valeur est inférieure ou égale à la valeur mentionnée dans le champ Score maximum.

Veillez à mettre en correspondance le champ overallAssessmentScore pour obtenir les résultats.

Impossible d'afficher les détails des hôtes sur l'enregistrement

Si vous ne parvenez pas à afficher les détails des hôtes dans le tableau des enregistrements, cela peut être dû à l'une des raisons suivantes :

Le mappage de tous les champs CrowdStrike n'est pas fourni lors de la configuration du plugin CrowdStrike.
Les hôtes tirés sont affichés sur une ligne avec des valeurs séparées par des virgules.

What to do:

Veillez à fournir le mappage nécessaire lors de la configuration du plugin.
Assurez-vous que les champs créés dans une entité sont conformes aux mappings.

Impossible d'effectuer une action sur les hôtes

Si vous ne pouvez pas effectuer d'action sur l'hôte, cela peut être dû à l'une des raisons suivantes :

L'autorisation donnée pour l'action n'est pas suffisante.
Réception d'une erreur lors de l'exécution d'une action.
L'hôte n'est pas présent sur la plateforme CrowdStrike.
La case à cocher Require Approval est activée lors de la configuration de l'action et la demande n'est pas approuvée.

What to do:

L'autorisation donnée pour l'action n'est pas suffisante. Vérifiez si l'autorisation de script RTR est fournie.
Si la machine hôte est en panne ou n'existe pas, le plugin ne pourra pas exécuter avec succès l'action Put RTR Script. Vérifiez que l'hôte est accessible.
Si l'hôte est Linux, l'action ne sera pas exécutée, car Linux n'est PAS un système d'exploitation pris en charge.
Si trop d'actions sont effectuées sur un hôte, vous risquez de rencontrer une erreur 425, qui ajoutera l'action à la file d'attente. Vous devez attendre un peu avant de réessayer d'effectuer l'action.
Allez sur la plateforme CrowdStrike, vérifiez si l'hôte sur lequel l'action doit être effectuée est présent ou non.
Allez sur Action Logs, sélectionnez les journaux pour lesquels vous voulez approuver les demandes et cliquez sur l'icône d'approbation, ou désactivez la bascule Require Approval de l'action configurée, puis exécutez à nouveau l'action.

Comportement connu

Après avoir mis à jour CRE CrowdStrike vers la version v1.1.0 Comme les anciennes versions de ce plugin utilisaient des permissions différentes, les utilisateurs seront confrontés à l'erreur ci-dessous. Vous devrez soit mettre à jour les autorisations pour les informations d'identification existantes, soit créer des informations d'identification New avec les autorisations requises.

CRE CrowdStrike [CS Upgrade 2]: Received exit code 403, Forbidden access while Adding tag 'FalconGroupingTags/testupgrade' on batch 1/1 (1 host(s)).