Netskope LogoNetskope Logo
  • Services de sécurité
  • Services d’IA
  • Services de miseenréseau
  • Services d'analyse
  • Intégrations
  • getting-started.svgPour commencer
    • Support
    • Communauté
    • Netskope.com
    © 2026 Tous droits réservés. Netskope Inc.
    Accueil
    Netskope Cloud Exchange
    Module Risk Exchange
    Configurer les plugins d'échange de risques tiers
    Plugin CrowdStrike pour Risk Exchange

    Plugin CrowdStrike pour Risk Exchange

    Notes de mise à jour

    1.1.1 (The minimum required CE version for this is 7.0.0)
    Added

    • Ajout de la prise en charge de la sélection de plusieurs champs source pour le paramètre « Étiquette(s) » dans l'action Ajouter/Supprimer une/des étiquette(s).

    1.1.0
    Added

    • Ajout de la prise en charge de l'extraction des détails de l'hôte à partir de la page Gestion des hôtes.
    • Ajout du support pour l'action Ajouter/Supprimer des balises sur les hôtes.
    • Ajout de la prise en charge de l'échec d'action partielle à partir de CE v6.0.0.
    • Added resolution for error logs starting from CE v6.0.0.

    1.0.0
    Added

    • Initial Release.

    Ce document explique comment configurer le plugin CrowdStrike v1.1.1  avec le module Risk Exchange de la plateforme Netskope Cloud Exchange. Ce plugin récupère les hôtes à partir de la page Host Setup and Management > Host Management et le score global d’évaluation respectif pour ces hôtes à partir de la page Host Setup and Management > Zero trust assessment sur le tenant CrowdStrike. Il prend également en charge Ajouter/Supprimer une ou des étiquettes pour le marquage des périphériques et l’action Exécuter un script RTR sur les hôtes.

    Calcul du score de normalisation Netskope => CrowdStrike host assessment overall score * 10.

    Conditions préalables

    Pour réaliser cette intégration, vous avez besoin de :

    • Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
    • A Netskope Cloud Exchange tenant with the Tenant plugin and Risk Exchange plugin already configured.
    • Les informations d'identification de l'instance CrowdStrike (ID client, secret client) pour le jeton API.
    • Rôle de l'administrateur CrowdStrike Real-Time Response pour l'action Put RTR Script.
    • Pour chaque plate-forme (Windows, Mac), il doit y avoir une politique de réponse avec une réponse en temps réel (commandes à haut risque) activée.
    • Connexion à l'hôte suivant : https://falcon.crowdstrike.com.
    Support du plugin CrowdStrike

    Ce plugin récupère les hôtes depuis la page Host Setup and Management > Host Management et le score d'évaluation global respectif pour ces hôtes depuis la page Host Setup and Management > Zero trust assessment sur le tenant CrowdStrike. Il prend également en charge Ajouter/Supprimer une ou des étiquettes pour l'étiquetage des périphériques et l'action Mettre le script RTR sur les hôtes.

    Note

    Les scores sont tirés de la page d'évaluation de la confiance zéro de Host Setup and Management > et le reste des détails de l'hôte sont tirés de la page Host Setup and Management > Host Management sur CrowdStrike.

    Type de données extraitesActions soutenues
    Hosts/DevicesMettre le script RTR
    Ajouter/supprimer une/des balise(s)
    Pas d'action
    Mises en correspondance

    La cartographie sera utilisée pour afficher les hôtes tirés et leurs détails respectifs. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois les données extraites. Vous trouverez ci-dessous la cartographie suggérée qui peut être utilisée lors de la configuration du plugin.

    Mappage par traction pour les hôtes
    Étiquette du champ du pluginType de données attenduÉtiquette suggérée pour le champStratégie globaleExemple
    ID de l'hôteStringCrowdStrike_host_idUnique (conserver cette option pour fusionner les enregistrements avec le locataire Netskope)5a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d
    Numéro de série du systèmeStringNuméro de sérieÉcraser (gardez ce caractère unique pour fusionner les enregistrements avec le tenant Netskope)SN-00000042-1234
    Note d'évaluation globaleNumberCrowdStrike_overall_assessment_scoreOverwrite42
    Score normalisé de NetskopeNumberCrowdStrike_netskope_normalized_scoreOverwrite420
    TagsListCrowdStrike_tagsOverwrite[“FalconGroupingTags/PerfTest”, “FalconGroupingTags/Batch-42”]
    CIDStringCrowdStrike_cidOverwriteaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa
    Version agentStringCrowdStrike_agent_versionOverwrite7.18.18509.0
    Fabricant du BIOSStringCrowdStrike_bios_manufacturerOverwriteDell Inc.
    Version du BIOSStringCrowdStrike_bios_versionOverwrite2.14.7
    Numéro de constructionStringCrowdStrike_build_numberOverwrite19045
    IP externeStringCrowdStrike_external_ipOverwrite203.45.12.87
    Adresse MacStringCrowdStrike_mac_addressOverwrite1a-2b-3c-4d-5e-6f
    HostnameStringCrowdStrike_hostnameOverwriteHOST-0000042
    Première vueDatetimeCrowdStrike_first_seenOverwrite2025-08-15T10:23:00Z
    Dernier utilisateur connectéStringCrowdStrike_last_login_userOverwriteuser00042
    Dernière connexion SID de l'utilisateurStringCrowdStrike_last_login_user_sidOverwriteS-1-5-21-1234567890-1234567891-1234567892-1042
    Dernière visiteDatetimeCrowdStrike_last_seenOverwrite2026-01-01T09:15:00Z
    Local IPStringCrowdStrike_local_ipOverwrite10.23.45.67
    Version OSStringCrowdStrike_os_versionOverwriteWindows 11
    Construction du système d'exploitationStringCrowdStrike_os_buildOverwrite22631.3007
    ID de plateformeStringCrowdStrike_platform_idOverwrite0
    Nom de la plateformeStringCrowdStrike_platform_nameOverwriteFenêtres
    État RTRStringCrowdStrike_rtr_stateOverwriteenabled
    GroupesListCrowdStrike_groupsOverwrite[« Finance-Endpoints », « Sales-Laptops »]
    Type de produitStringCrowdStrike_product_typeOverwrite1
    Description du type de produitStringCrowdStrike_product_type_descriptionOverwriteWorkstation
    Statut de la dispositionStringCrowdStrike_provision_statusOverwriteProvisioned
    StatutStringCrowdStrike_statusOverwritenormal
    Fabricant du systèmeStringCrowdStrike_system_manufacturerOverwriteDell Inc.
    Nom du produit systèmeStringCrowdStrike_system_product_nameOverwriteModel-4821
    Horodatage modifiéDatetimeCrowdStrike_modified_timestampOverwrite2026-01-01T09:20:00Z
    Version du noyauStringCrowdStrike_kernel_versionOverwrite5.15.90
    Nom du produit OSStringCrowdStrike_os_product_nameOverwriteWindows 11
    Type de châssisStringCrowdStrike_chassis_typeOverwrite9
    Description du type de châssisStringCrowdStrike_chassis_type_descriptionOverwriteLaptop
    IP de connexionStringCrowdStrike_connection_ipOverwrite10.12.34.56
    IP de passerelle par défautStringCrowdStrike_default_gateway_ipOverwrite10.0.0.1
    Adresse MAC de la connexionStringCrowdStrike_connection_mac_addressOverwriteaa-bb-cc-dd-ee-ff
    État de confinement du système de fichiersStringCrowdStrike_filesystem_containment_statusOverwritenormal
    Politiques appliquéesListCrowdStrike_applied_policiesOverwrite[“prevention”, “sensor-update”]
    Politiques appliquées périphériqueListCrowdStrike_applied_device_policiesOverwrite[“prevention”, “sensor_update”]

    Note

    • Pour fusionner des enregistrements provenant de plusieurs plugins, vous devez choisir des champs uniques et communs à tous les plugins.
    • Par exemple : Pour fusionner les enregistrements de Risk Exchange, des plugins Risk Exchange Omnissa Workspace One UEM et Risk Exchange CrowdStrike sous une seule entité, vous pouvez faire du périphérique Serial Number un champ unique afin qu'il soit commun aux trois plugins.
    Correspondance entre le score et le fichier (pour l'action mettre RTR Script)

    Le mappage mentionné ci-dessous sera pris en compte lorsque l'action Put RTR Script est exécutée sur les hôtes. Un fichier sera créé sur la machine hôte au nom de l'action effectuée. Le nom du fichier dépend de la configuration effectuée par l'utilisateur dans la configuration de l'action. Si une valeur statique de score est fournie, le nom du fichier en dépendra, et si une règle métier est utilisée, le nom du fichier dépendra du score obtenu pour les hôtes.

    ScoreNom du fichier
    Moins de 26crwd_zta_1_25.txt
    26 à 51crwd_zta_26_50.txt
    51 à 76crwd_zta_51_75.txt
    76 à 100crwd_zta_76_100.txt
    Permissions
    Permissions de l'étendue de l'API

    Reportez-vous à la section Obtenir l'identifiant et le secret du client pour obtenir et fournir des autorisations sur les champs d'application de l'API.

    Champ d'applicationReadWrite
    HôtesOuiOui
    Réponse en temps réel (admin)–Oui
    Réponse en temps réelOuiOui
    Évaluation de la confiance zéroOui–
    Politique de réponse Permissions

    Reportez-vous à la section Ajouter une autorisation pour la politique de réponse (autorisation de script RTR) pour obtenir et fournir des autorisations pour la politique de réponse.

    CatégorieTypePermissionStatut
    Réponse en temps réelScripts personnalisésScripts FalconActiver
    Réponse en temps réelCommandes à haut risqueputActiver

    Note

    Les autorisations relatives à la politique de réponse ne sont nécessaires que si vous souhaitez utiliser l'action Put RTR Script.

    Détails de l'API
    Liste des API utilisées
    Détail de l'APIMéthodeEndpointChamp d'application de l'API
    Obtenir un jeton d'authentificationPUBLIER/oauth2/tokenAucun
    Recherche d'enregistrementsOBTENIR/périphérique/queries/périphérique-scroll/v1Hôtes (Lire)
    Recherche de notesOBTENIR/zero-trust-assessment/entities/assessments/v1Évaluation de la confiance zéro (Lire)
    Mettre le fichier sur le nuage RTRPUBLIER/real-time-response/entities/put-files/v1Réponse en temps réel admin (écriture)
    Obtenir le nom de la plate-formePUBLIER/devices/entities/devices/v2Hôtes (Lire)
    Vérifier l'existence du scriptOBTENIR/real-time-response/queries/scripts/v1Réponse en temps réel (Read)
    Créer un script de suppression des fichiers de score sur RTR CloudPUBLIER/real-time-response/entities/scripts/v1Réponse en temps réel admin (écriture)
    Obtenir l'identifiant de la sessionPUBLIER/real-time-response/entities/sessions/v1Réponse en temps réel (Read)
    Changer de répertoirePUBLIER/real-time-response/entities/admin-command/v1Réponse en temps réel admin (écriture)
    Supprimer le fichier du périphériquePUBLIER/real-time-response/entities/admin-command/v1Réponse en temps réel admin (écriture)
    Obtenir l'état de la commandeOBTENIR/real-time-response/entities/admin-command/v1Réponse en temps réel admin (écriture)
    Mettre le dossier sur périphériquePUBLIER/real-time-response/entities/admin-command/v1Réponse en temps réel admin (écriture)
    Supprimer la sessionDELETE/real-time-response/entities/sessions/v1Réponse en temps réel (Read)
    Obtenir les coordonnées de l'hôtePUBLIER/devices/entities/devices/v2Hôtes (lecture + écriture)
    Add/Remove TagsPATCH/devices/entities/devices/tags/v1Hôtes (lecture + écriture)
    Obtenir un jeton d'authentification

    API Endpoint: /oauth2/token
    Method: POST
    Parameter

    CléValue
    grant_typeclient_credentials
    client_id<Client ID>
    client_secret<Client Secret>

    Sample API Response

    {
     "access_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6InB1YmxpYzphNDdiNTc2MS0zYzk3LTQwMmItOTgzNi0wNmNhODI0NTViOTMiLCJ0eXAiOiJKV1QifQ.eyJhdWQiOltdLCJjbGllbnRfaWQiOiJlZTA5YTc3MjAwNzc0MzYwOTlhYTM5N2M2MTJlYTQzYiIsImV4cCI6MTcwMzI0MDQzOSwiZXh0Ijp7InN1Yl90eXBlIjoiY2xpZW50In0sImlhdCI6MTcwMzIzODYzOSwiaXNzIjoiaHR0cHM6Ly9hcGkuY3Jvd2RzdHJpa2UuY29tLyIsImp0aSI6ImQ5ZTlmZWI4LTM0ODAtNDM2NC1hYzI2LTBhZjgzNDdlOWY2OSIsIm5iZiI6MTcwMzIzODYzOSwic2NwIjpbXSwic3ViIjoiZWUwOWE3NzIwMDc3NDM2MDk5YWEzOTdjNjEyZWE0M2IiLq_wgw5-EAB-hHiRB-coF2Yy_PeP-8IvjWQVIjlDJrRmRQ-s-NmAkm8XaG9GojFZvaT-sufiBxKEDmpdntABNkEG1fcbVvd7tVW-vi36PFPoc3p1t4sbaMhf9_Kts8iAHsv6BudVyFsPhPAreGc2OXUFT39ZvuDTN5BxOFiPT_9_gadXt-7N*************************************************************************************",
     "expires_in": 1799,
     "token_type": "bearer"
    }
    Recherche d'enregistrements

    API endpoint: /devices/queries/devices-scroll/v1

    Method: OBTENIR

    Parameters

    CléValue
    limit5000
    offset“”

    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Sample API Response

    {
        "meta": {
            "query_time": 0.025422559,
            "pagination": {
                "offset": 1,
                "limit": 1,
                "total": 21
            },
            "powered_by": "device-api",
            "trace_id": "5f1a1eeb-9d8b-4412-8523-0fc933a0bf6f"
        },
        "resources": [
            "89b9743fcb6b4ccaa09600ac5204bac4"
        ],
        "errors": []
    }
    Recherche de notes

    API Endpoint: /zero-trust-assessment/entities/assessments/v1
    Method: GET
    Parameters

    CléValue
    ids[<Host Ids>]

    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Sample API Response

    {
        "meta": {
            "query_time": 0.003210238,
            "trace_id": "ba076fd9-7340-49f3-a9a2-41b6f2eb94d9"
        },
        "errors": [],
        "resources": [
            {
                "aid": "e039334e8b0e4747bdfc7a29406ec8e1",
                "cid": "c17f3a80ded0418eb107db3d26a27983",
                "system_serial_number": "FVHX2HEDJ1WK",
                "event_platform": "Mac",
                "product_type_desc": "Workstation",
                "modified_time": "2024-05-01T08:42:07Z",
                "sensor_file_status": "confirmed",
                "assessment": {
                    "sensor_config": 66,
                    "os": 72,
                    "overall": 68,
                    "version": "3.8.1"
                },
                "assessment_items": {
                    "os_signals": [
                        {
                            "signal_id": "mac_os_version",
                            "signal_name": "macOS Version",
                            "group_name": "macOS",
                            "criteria": "macOS version is ≥11.0",
                            "meets_criteria": "yes"
                        }
                    ],
                    "sensor_signals": [
                        {
                            "signal_id": "ml_cloud_antimalware_detection_mac",
                            "signal_name": "Cloud ML - Cloud Anti-malware - Detection for macOS",
                            "group_name": "Prevention",
                            "criteria": "Cloud ML - Cloud Anti-malware Detection: set to Aggressive or higher",
                            "meets_criteria": "yes"
                        },
                                       ]
                }
            }
        ]
    }
    Mettre un fichier sur le nuage RTR

    API Endpoint: /real-time-response/entities/put-files/v1
    Method: POST
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Data

    {
      "description": "file representing a ZTA score of 1_25",
      "name": "crwd_zta_1_25.txt",
      "comments_for_audit_log": "uploade file representing a ZTA score of 1_25 for Netskope ZTA-RTR integration"
    }

    Sample API Response

    {
      "meta": {
        "query_time": 0.536670425,
        "writes": {
          "resources_affected": 1
        },
        "powered_by": "empower-api",
        "trace_id": "d4bddc66-83fd-4875-9016-a17899fd83ba"
      }
    }
    Vérifier l'existence du script

    API Endpoint: /réponse-réen-temps/requêtes/scripts/v1
    Method: ALLEZ
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Parameters

    CléValue
    filtername: ‘<Script name>’

    API Response

    {
        "meta": {
            "query_time": 0.025087906,
            "pagination": {
                "offset": 0,
                "limit": 100,
                "total": 1
            },
            "powered_by": "empower-api",
            "trace_id": "0e9ccedb-58c9-44a9-842c-620977f096b1"
        },
        "resources": [
            "bab3f0ff134311efb74642cd23408b64_ee09a7720077436099aa397c612ea43b"
        ]
    }
    Créer un script de suppression des fichiers de pointage sur le nuage RTR

    API Endpoint: /real-time-response/entities/scripts/v1
    Method: POST
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Data

    CléValue
    nameNom du script
    permission_typepublic
    descriptionDescription du fichier.

    Files
    Téléchargez le fichier de script.
    Pour le script python, ajoutez le tuple ci-dessous dans le paramètre files pour les requêtes

    [
                    (
                        "file",
                        (
                            "",
                            file,
                            "application/octet-stream",
                        ),
                    )
                ]

    API Response

    {
        "meta": {
            "query_time": 0.947792627,
            "writes": {
                "resources_affected": 1
            },
            "powered_by": "empower-api",
            "trace_id": "eed1850a-0c07-488a-b36d-a70d5e904d71"
        }
    }
    Obtenir un nom de plate-forme

    API Endpoint: /périphérique/entities/périphérique/v2
    Method: ALLEZ
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Parameters

    CléValue
    Ids[<Host ID>]

    API Response

    {
        "meta": {
            "query_time": 0.001626152,
            "powered_by": "device-api",
            "trace_id": "8adcbd8a-40cd-4086-8e5d-5d3962fb1073"
        },
        "resources": [
            {
                "device_id": "d2abab7b4c6a4d9998b298b19bbda31f",
                "cid": "c17f3a80ded0418eb107db3d26a27983",
                "agent_load_flags": "0",
                "agent_local_time": "2023-12-22T11:19:53.929Z",
                "agent_version": "7.05.17603.0",
                "bios_manufacturer": "Apple Inc.",
                "bios_version": "515.0.0.0.0",
                "config_id_base": "65994753",
                "config_id_build": "17603",
                "config_id_platform": "4",
                "cpu_signature": "526057",
                "external_ip": "117.217.127.213",
                "mac_address": "dc-a9-04-99-43-aa",
                "hostname": "ITs-MacBook-Pro.local",
                "first_seen": "2023-12-18T08:46:57Z",
                "last_login_timestamp": "2023-12-21T08:00:38Z",
                "last_login_user": "it",
                "last_login_uid": "501",
                "last_login_user_sid": "S-1-5-21-1276927669-3124867281-3856135234-2002",
                "last_seen": "2023-12-22T11:46:27Z",
                "local_ip": "172.20.10.87",
                "major_version": "22",
                "minor_version": "6",
                "os_version": "Ventura (13)",
                "os_build": "22G120",
                "platform_id": "1",
                "platform_name": "Mac",
                "policies": [
                    {
                        "policy_type": "prevention",
                        "policy_id": "e17fdf411592409794d748e907da9967",
                        "applied": true,
                        "settings_hash": "528b286b",
                        "assigned_date": "2023-12-18T08:48:02.464865254Z",
                        "applied_date": "2023-12-18T08:48:08.608666735Z",
                        "rule_groups": []
                    }
                ],
                "reduced_functionality_mode": "yes",
                "device_policies": {
                    "prevention": {
                        "policy_type": "prevention",
                        "policy_id": "e17fdf411592409794d748e907da9967",
                        "applied": true,
                        "settings_hash": "528b286b",
                        "assigned_date": "2023-12-18T08:48:02.464865254Z",
                        "applied_date": "2023-12-18T08:48:08.608666735Z",
                        "rule_groups": []
                    },
                    "sensor_update": {
                        "policy_type": "sensor-update",
                        "policy_id": "766825ba2e2847f8a9134f7f48f44214",
                        "applied": true,
                        "settings_hash": "tagged|3;101",
                        "assigned_date": "2023-12-18T09:00:47.465877148Z",
                        "applied_date": "2023-12-18T09:03:49.721523878Z",
                        "uninstall_protection": "ENABLED"
                    },
                    "device_control": {
                        "policy_type": "device-control",
                        "policy_id": "6e4a89125c4343f3ab42cbf2fa482702",
                        "applied": true,
                        "assigned_date": "2023-12-18T08:48:02.464932037Z",
                        "applied_date": "2023-12-18T08:49:48.770860727Z"
                    },
                    "global_config": {
                        "policy_type": "globalconfig",
                        "policy_id": "e2289d74264744f38e62d1146b13189d",
                        "applied": true,
                        "settings_hash": "1fda691c",
                        "assigned_date": "2023-12-22T11:20:01.358167731Z",
                        "applied_date": "2023-12-22T11:21:05.552056147Z"
                    },
                    "remote_response": {
                        "policy_type": "remote-response",
                        "policy_id": "70d43a45f67149e8b54c8d80ac00df10",
                        "applied": true,
                        "settings_hash": "797eb425",
                        "assigned_date": "2023-12-18T08:48:02.464926863Z",
                        "applied_date": "2023-12-18T08:48:08.689092082Z"
                    },
                    "firewall": {
                        "policy_type": "firewall",
                        "policy_id": "b1a5ff10a3c44f66a47c7f08f2e372e5",
                        "applied": true,
                        "assigned_date": "2023-12-18T08:48:02.464940776Z",
                        "applied_date": "2023-12-18T08:48:08.752377285Z",
                        "rule_set_id": "b1a5ff10a3c44f66a47c7f08f2e372e5"
                    }
                },
                "groups": [],
                "group_hash": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
                "product_type_desc": "Workstation",
                "provision_status": "Provisioned",
                "serial_number": "C02V10FEHV2T",
                "status": "normal",
                "system_manufacturer": "Apple Inc.",
                "system_product_name": "MacBookPro14,2",
                "tags": [],
                "modified_timestamp": "2023-12-22T11:46:35Z",
                "meta": {
                    "version": "110",
                    "version_string": "6:10864108136"
                },
                "kernel_version": "22.6.0",
                "chassis_type": "9",
                "chassis_type_desc": "Laptop"
            }
        ],
        "errors": null
    }
    Obtenir un identifiant de session

    API Endpoint: Réponse en temps réel/entités/sessions/v1
    Method: PUBLICATION
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1
    Content-Typeapplication/json

    Data

    CléValue
    device_id<Device ID><ID de l’appareil>
    originNetskope
    queue_offlineVrai

    Sample API Response

    {
        "meta": {
            "query_time": 0.315515137,
            "powered_by": "empower-api",
            "trace_id": "0483a37f-896b-4bb3-bf1e-8f8b3618a2e2"
        },
        "resources": [
            {
                "session_id": "a26ad68e-1272-482b-95b5-78ee27344d80",
                "scripts": [
                    {
                        "command": "cat",
                        "description": "Read a file from disk and display as ASCII",
                        "examples": "cat foo.txt\r\ncat -n foo.txt\r\ncat -t foo.txt\r\ncat -t -n foo.txt",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": [
                            {
                                "id": 582,
                                "created_at": "2019-07-03T18:52:15Z",
                                "updated_at": "2019-07-03T18:52:15Z",
                                "script_id": 527,
                                "arg_type": "arg",
                                "data_type": "string",
                                "requires_value": false,
                                "arg_name": "Path",
                                "description": "path to cat",
                                "default_value": "",
                                "required": true,
                                "sequence": 1,
                                "options": null,
                                "encoding": "",
                                "command_level": "non-destructive"
                            },
                            {
                        "command": "getsid",
                        "description": "Enumerate local users and Security Identifiers (SID)",
                        "examples": "getsid\r\n    List all users and associated SIDs\r\ngetsid foo\r\n    List users and associated SIDs matching substring \"foo\"",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": [
                            {
                                "id": 661,
                                "created_at": "2020-04-02T03:31:02Z",
                                "updated_at": "2020-04-02T03:31:02Z",
                                "script_id": 557,
                                "arg_type": "arg",
                                "data_type": "string",
                                "requires_value": false,
                                "arg_name": "UserName",
                                "description": "Partial or full username to filter results",
                                "default_value": "",
                                "required": false,
                                "sequence": 1,
                                "options": null,
                                "encoding": "",
                                "command_level": "non-destructive"
                            }
                        ]
                    },
                    {
                        "command": "ls",
                        "description": "Display the contents of the specified path",
                        "examples": "ls\r\nls -l\r\nls -L\r\nls -t\r\nls -l -@\r\nls -R\r\nls -l -R\r\nls -l -t -R -L",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": [
                            {
                                "id": 576,
                                "created_at": "2019-07-03T18:51:13Z",
                                "updated_at": "2019-07-03T18:51:13Z",
                                "script_id": 526,
                                "arg_type": "arg",
                                "data_type": "string",
                                "requires_value": false,
                                "arg_name": "Path",
                                "description": "Path ",
                                "default_value": ".",
                                "required": false,
                                "sequence": 1,
                                "options": null,
                                "encoding": "",
                                "command_level": "non-destructive"
                            }                    ]
                    },
                    {
                        "command": "mount",
                        "description": "List or mount filesystem volumes",
                        "examples": "Executable by all RTR roles:\r\nmount\r\nExecutable by privileged RTR users only:\r\nmount -t=nfs \"host:/exports/filesystem\" \"/mnt/filesystem\"\r\n    Mount the NFS filesystem located at \"/exports/filesystem\" on \"host\" to the local destination \"/mnt/filesystem\"\r\nmount -t=smbfs \"//user:password@host/filesystem\" \"/mnt/mountpoint\"\r\n    Mount the SMB \"/filesystem\" on \"host\" as \"user\" with \"password\" to \"/mnt/mountpoint\"\r\nmount -t=smbfs -o=nobrowse \"//user:password@host/filesystem\" \"/mnt/mountpoint\"\r\n    Mount the SMB \"/filesystem\" with option \"nobrowse\" on \"host\" as \"user\" with \"password\" to \"/mnt/mountpoint\"",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": []
                    },
                    {
                        "command": "netstat",
                        "description": "Display routing information or network connections",
                        "examples": "netstat\r\nnetstat -nr",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": [
                                {
                                "id": 973,
                                "created_at": "2023-11-20T23:23:37Z",
                                "updated_at": "2023-11-20T23:23:37Z",
                                "script_id": 539,
                                "arg_type": "flag",
                                "data_type": "string",
                                "requires_value": false,
                                "arg_name": "n",
                                "description": "Flag to show network addresses as numbers",
                                "default_value": "",
                                "required": false,
                                "sequence": 2,
                                "options": null,
                                "encoding": "",
                                "command_level": "non-destructive"
                            }
                        ]
                    },
                    {
                        "command": "users",
                        "description": "Get details about local users",
                        "examples": "users\r\n    List details about all local users\r\nusers foo\r\n    List details about local user \"foo\"",
                        "internal_only": false,
                        "runnable": true,
                        "sub_commands": [],
                        "args": [
                            {
                                "id": 679,
                                "created_at": "2020-04-02T03:31:12Z",
                                "updated_at": "2020-04-02T03:31:12Z",
                                "script_id": 565,
                                "arg_type": "arg",
                                "data_type": "string",
                                "requires_value": false,
                                "arg_name": "UserName",
                                "description": "Username to filter results",
                                "default_value": "",
                                "required": false,
                                "sequence": 1,
                                "options": null,
                                "encoding": "",
                                "command_level": "non-destructive"
                            }
                        ]
                    }
                ],
                "existing_aid_sessions": 1,
                "created_at": "2023-12-22T15:47:24.904481922Z",
                "offline_queued": true
            }
        ],
        "errors": null
    }
    Modifier un répertoire

    API Endpoint: /real-time-response/entities/admin-command/v1

    Method: PUBLIER
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Data

    CléValue
    base_commandcd
    command_stringcd "/Library/Application Support/Netskope/STAgent" ou
    cd "C:\NProgram Files (x86)\NNetskope\NSTAgent"
    persistVrai
    session_id30b171e9-26ca-4856-b00e-10d5c4be765e

    Sample API Response

    {
        "meta": {
            "query_time": 0.052249291,
            "powered_by": "empower-api",
            "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
        },
        "resources": [
            {
                "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
                "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
                "queued_command_offline": false
            }
        ],
        "errors": null
    }
    Mettre un dossier sur un périphérique

    API Endpoint: /real-time-response/entities/admin-command/v1

    Method: PUBLIER
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Data

    CléValue
    base_commandput
    command_stringput crwd_zta_1_25.txt
    persistVrai
    session_id<Session ID>

    Sample API Response

    {
        "meta": {
            "query_time": 0.052249291,
            "powered_by": "empower-api",
            "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
        },
        "resources": [
            {
                "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
                "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
                "queued_command_offline": false
            }
        ],
        "errors": null
    }
    Supprimer un fichier d'un périphérique

    API Endpoint: /real-time-response/entities/admin-command/v1

    Method: PUBLIER
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Data

    CléValue
    base_commandrm
    command_stringrm crwd_zta_1_25.txt
    persistVrai
    session_id30b171e9-26ca-4856-b00e-10d5c4be765e

    Sample API Response

    {
        "meta": {
            "query_time": 0.052249291,
            "powered_by": "empower-api",
            "trace_id": "ebb0457c-1000-4607-99c5-85fd2c2aae91"
        },
        "resources": [
            {
                "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
                "cloud_request_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
                "queued_command_offline": false
            }
        ],
        "errors": null
    }
    Obtenir l'état d'une commande

    API Endpoint: /real-time-response/entities/admin-command/v1
    Method: GET
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Parameters

    CléValue
    cloud_request_id399d6ed9-e2c5-4e72-8618-97515f69dc72
    sequence_id0

    Sample API Response

    {
        "meta": {
            "query_time": 0.30452861,
            "powered_by": "empower-api",
            "trace_id": "f2fbc47d-a6e5-4ddf-9bb0-778fd7b32017"
        },
        "resources": [
            {
                "session_id": "30b171e9-26ca-4856-b00e-10d5c4be765e",
                "task_id": "399d6ed9-e2c5-4e72-8618-97515f69dc72",
                "complete": true,
                "stdout": "",
                "stderr": "/Library/Application Support/Netskope/STAgent does not exist\n",
                "base_command": "cd"
            }
        ],
        "errors": []
    }
    Supprimer une session

    API Endpoint: /real-time-response/entities/sessions/v1

    Method: DELETE
    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1
    Content-Typeapplication/json

    Parameter

    CléValue
    session_id30b171e9-26ca-4856-b00e-10d5c4be765e

    Sample API Response

    Status code: 204
    No Content
    Récupérer les détails de l'hôte

    API endpoint: /devices/entities/devices/v2

    Method: PUBLIER

    Parameters

    KeyValue
    ids[Liste d'ID d'hôtes pour lesquels des détails doivent être recherchés].

    Headers

    KeyValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Sample API Response

    {
    "meta": {
    "query_time": 0.117260667,
    "powered_by": "device-api",
    "trace_id": "0a85703e-2de1-49e5-b6e4-f2bd0d34089e"
    },
    "resources": [
    {
    "device_id": "ea72524ea4ad4b27972d243ecbaa1301",
    "cid": "c17f3a80ded0418eb107db3d26a27983",
    "agent_load_flags": "17",
    "agent_local_time": "2025-09-24T06:32:54.445Z",
    "agent_version": "7.26.19811.0",
    "bios_manufacturer": "Amazon EC2",
    "bios_version": "1.0",
    "build_number": "20348",
    "config_id_base": "65994767",
    "config_id_build": "19811",
    "config_id_platform": "3",
    "cpu_signature": "526072",
    "cpu_vendor": "0",
    "external_ip": "3.94.32.239",
    "mac_address": "0e-2d-ab-80-66-21",
    "instance_id": "i-029d628a3ccff68b2",
    "service_provider": "AWS_EC2_V2",
    "service_provider_account_id": "697148468905",
    "hostname": "WSAMZN-ITJAV0IR",
    "filesystem_containment_status": "normal",
    "first_seen": "2025-05-30T19:36:27Z",
    "last_login_timestamp": "2025-06-02T19:53:00Z",
    "last_login_user": "admin01",
    "last_login_user_sid": "S-1-5-21-1855757304-2032728104-4068347724-1147",
    "last_seen": "2025-09-24T06:34:07Z",
    "local_ip": "198.19.158.136",
    "machine_domain": "Test.com",
    "major_version": "10",
    "minor_version": "0",
    "os_version": "Windows Server 2022",
    "os_build": "20348",
    "ou": [
    "Computers",
    "Test"
    ],
    "platform_id": "0",
    "platform_name": "Windows",
    "policies": [
    {
    "policy_type": "prevention",
    "policy_id": "07edbe6317064e6bace102d489e9e19a",
    "applied": true,
    "settings_hash": "9ad81c1b",
    "assigned_date": "2025-05-30T19:37:40.446318344Z",
    "applied_date": "2025-05-30T19:37:50.956236409Z",
    "rule_groups": [
    "6872ddd9b48f46feb1d4abf2d3542310"
    ]
    }
    ],
    "reduced_functionality_mode": "no",
    "rtr_state": "enabled",
    "device_policies": {
    "prevention": {
    "policy_type": "prevention",
    "policy_id": "07edbe6317064e6bace102d489e9e19a",
    "applied": true,
    "settings_hash": "9ad81c1b",
    "assigned_date": "2025-05-30T19:37:40.446318344Z",
    "applied_date": "2025-05-30T19:37:50.956236409Z",
    "rule_groups": [
    "6872ddd9b48f46feb1d4abf2d3542310"
    ]
    },
    "sensor_update": {
    "policy_type": "sensor-update",
    "policy_id": "e306abdd429c43c3950543f22662bb15",
    "applied": true,
    "settings_hash": "tagged|2;101",
    "assigned_date": "2025-08-27T04:11:41.092429921Z",
    "applied_date": "2025-08-27T04:13:01.950732526Z",
    "uninstall_protection": "ENABLED"
    },
    "device_control": {
    "policy_type": "device-control",
    "policy_id": "61c165fc44cd4a4d920aada842fd0e6c",
    "applied": true,
    "settings_hash": "e53be076",
    "assigned_date": "2025-05-30T19:37:40.446402575Z",
    "applied_date": "2025-05-30T19:37:51.181527598Z"
    },
    "global_config": {
    "policy_type": "globalconfig",
    "policy_id": "bc920818ad0046238a4f7565a97b1ffa",
    "applied": true,
    "settings_hash": "6f3f73f5",
    "assigned_date": "2025-09-24T04:06:34.523107331Z",
    "applied_date": "2025-09-24T06:39:09.987097062Z"
    },
    "remote_response": {
    "policy_type": "remote-response",
    "policy_id": "e18954cfc9dd4707a4b7e7209614b38f",
    "applied": true,
    "settings_hash": "797eb425",
    "assigned_date": "2025-05-30T19:37:40.446118335Z",
    "applied_date": "2025-05-30T19:37:50.946803441Z"
    },
    "firewall": {
    "policy_type": "firewall",
    "policy_id": "046a320f8aa5446ba46ff168dad25b21",
    "applied": true,
    "settings_hash": "f5bd3b38",
    "assigned_date": "2025-05-30T19:37:40.445507286Z",
    "applied_date": "2025-05-30T19:37:51.191633303Z",
    "rule_set_id": "046a320f8aa5446ba46ff168dad25b21"
    },
    "system-tray": {
    "policy_type": "system-tray",
    "policy_id": "21166876996942fea6826e86af5d8851",
    "applied": true,
    "settings_hash": "64111ecabb0f2fff301bef6007dd2792f26df4fe37d52475b301883d5d05a856",
    "assigned_date": "2025-05-30T19:37:40.44621436Z",
    "applied_date": "2025-05-30T19:37:50.979483198Z"
    },
    "it-automation": {
    "policy_type": "it-automation",
    "policy_id": "e5023d7fe0f04d079aa6781ea551b7b7",
    "applied": true,
    "settings_hash": "8b2dd4644a0b8d81afb2b5abb021036c15740677d05e981c9ec52aeed3795d40",
    "assigned_date": "2025-08-01T04:04:54.664467601Z",
    "applied_date": "2025-08-01T04:06:34.647303444Z"
    },
    "host-retention": {
    "policy_type": "host-retention",
    "policy_id": "2bc7c08cc62542a5aecdcf7ee6ef0521",
    "applied": true,
    "settings_hash": "fce339fc6cbb4dae36929fe363a81368f4a7e3f2c3a3d62ff7e3ef202ee48df5",
    "assigned_date": "2025-05-30T19:37:40.445855778Z",
    "applied_date": "2025-05-30T19:37:51.027363767Z"
    },
    "browser-extension": {
    "policy_type": "browser-extension",
    "policy_id": "73a923145bde4185952e565997e98e76",
    "applied": true,
    "settings_hash": "703a53a9569764fe0169ebc6af5d0f4e1646ee9c933ddfae4aed2b89244ac704",
    "assigned_date": "2025-05-30T19:40:27.187530564Z",
    "applied_date": "2025-05-30T19:45:38.428436061Z"
    },
    "content-update": {
    "policy_type": "content-update",
    "policy_id": "3854f9273d2e40dd8b2cb38a6cb5723e",
    "applied": true,
    "settings_hash": "12843283258447456940",
    "assigned_date": "2025-05-30T19:37:40.445946984Z",
    "applied_date": "2025-05-30T19:37:40.445946984Z"
    }
    },
    "groups": [],
    "group_hash": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
    "product_type": "3",
    "product_type_desc": "Server",
    "provision_status": "Provisioned",
    "serial_number": "ec2b81ea-aff2-8ace-e98e-e084a7c87951",
    "service_pack_minor": "0",
    "pointer_size": "8",
    "site_name": "Default-First-Site-Name",
    "status": "normal",
    "system_manufacturer": "Amazon EC2",
    "system_product_name": "m7i-flex.large",
    "tags": [],
    "modified_timestamp": "2025-09-24T06:39:10Z",
    "meta": {
    "version": "252",
    "version_string": "14:40353731180"
    },
    "zone_group": "us-east-1b",
    "kernel_version": "10.0.20348.4163",
    "os_product_name": "Windows Server 2022 Datacenter",
    "chassis_type": "1",
    "chassis_type_desc": "Other",
    "last_reboot": "2025-09-24T06:32:46Z",
    "pod_labels": [],
    "pod_annotations": [],
    "connection_ip": "172.30.0.131",
    "default_gateway_ip": "172.30.0.1",
    "connection_mac_address": "0e-98-05-92-b0-8b"
    }
    ],
    "errors": null
    }
    Ajouter / supprimer des balises des hôtes

    API endpoint: /devices/entities/devices/tags/v1

    Method: PATCH

    Parameters

    CléValue
    actionadd/remove
    device_ids[Liste des identifiants des hôtes sur lesquels l'action doit être effectuée].
    tags[Liste des balises qui doivent être ajoutées / supprimées des hôtes].

    Headers

    CléValue
    AuthorizationBearer <Bearer Token>
    User-Agentnetskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Sample API Response

    {
    "meta": {
    "query_time": 0.306923974,
    "powered_by": "device-api",
    "trace_id": "f7e2c5a0-7678-40c0-8c64-1beaa19a3aad"
    },
    "resources": [
    {
    "device_id": "6b19e5d6f58140f895d3d9e74c3effaf",
    "updated": true,
    "code": 200
    }
    ],
    "errors": null
    }

    Matrice de performance

    Vous trouverez ci-dessous la matrice de performance réalisée sur une grande pile CE avec les spécifications mentionnées ci-dessous en tirant 500k Hosts/périphérique.

    DescriptionSpécifications
    Taille de la pileTaille : Grande
    RAM : 32 GB
    Cœur : 16
    Temps nécessaire pour stocker les 500k enregistrements Host/périphérique tirés et mis à jour~21 min

    Note

    Nous avons validé le plugin avec Microsoft (windows), Linux, macOS, et IOS périphérique.

    Agent utilisateur

    netskope-ce-7.0.0-cre-crowdstrike/1.1.1

    Workflow
    1. Obtenez votre numéro de client et votre secret de client.
    2. Ajout de l’autorisation pour le script RTR.
    3. Configurez le plugin CrowdStrike.
    4. Configurer une règle de gestion pour CrowdStrike.
    5. Configurer les actions pour CrowdStrike.
    6. Validez le plugin.

    Regardez une vidéo

    Cliquez sur "play" pour regarder une vidéo :

     

    Obtenez votre identifiant et votre secret client

    1. Dans CrowdStrike, allez à Support and resources > API clients and keys.
    1. Cliquez sur Create API Client.
    1. Ajoutez les lunettes de vue suivantes pour le plugin CrowdStrike, puis cliquez sur Save.

      API Scopes Permissions

      Champ d'applicationReadWrite
      HôtesOuiOui
      Réponse en temps réel (admin)–Oui
      Réponse en temps réelOuiOui
      Évaluation de la confiance zéroOui–
    1. Faites une copie de l'identifiant et du secret du client. Ils sont nécessaires pour configurer le plugin.

    Ajouter une autorisation pour une politique de réponse (autorisation de script RTR)

    1. Connectez-vous à Falcon CrowdStrike.
    2. Cliquez sur le bouton de menu dans le coin supérieur gauche et allez à Host setup and management > Response policies.
    1. Pour Windows, accédez à la stratégie à utiliser et cliquez sur le nom de la stratégie. 
    2. Activez ces autorisations.

      Response Policy Permissions

      CatégorieTypePermissionStatut
      Réponse en temps réelScripts personnalisésScripts FalconActiver
      Réponse en temps réelCommandes à haut risqueputActiver

      Consultez également la capture d'écran ci-dessous.

      Vous pouvez également accéder directement à votre hôte à partir de Host setup and management > Host management. Cliquez sur votre nom d'hôte et descendez jusqu'aux informations sur la politique de réponse, puis cliquez sur le nom de la politique dans le menu contextuel de gauche.

    Configurer le plugin CrowdStrike

    1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin CrowdStrike v1.1.1 (CRE).

    2. Saisissez un nom de configuration du plugin et modifiez l'intervalle de synchronisation si nécessaire.

    3. Cliquez sur Next et ajoutez l’URL de base, l’ID client, le secret client et le score maximal (le score maximal est le paramètre de configuration via lequel le plugin récupère les scores des hôtes inférieurs ou égaux à une valeur donnée).

    4. Cliquez sur Next et sélectionnez l’Entité dans le menu déroulant Entité, puis fournissez les mappages de champs selon vos besoins.

      Le champ ID de l'hôte sera nécessaire pour extraire les hôtes et pour effectuer des actions sur les hôtes.

      Pour créer un champ New sous n'importe quelle entité, cliquez sur Add Field.

      Saisissez l’étiquette de champ, le type de données, définissez si l’élément est unique ou non et sélectionnez la stratégie d’agrégation.

      Voici les mappages suggérés :

    5. Cliquez sur Save.

    Configurer une règle de gestion User Risk Exchange pour CrowdStrike

    1. Dans Risk Exchange, allez à Business Rules et cliquez sur Create New Rule.

    2. Saisissez un nom de règle et sélectionnez l’Entité pour les Champs que vous avez configurés pour le plugin CrowdStrike,  et configurez la requête selon vos besoins. Cet exemple filtre l’Hôte avec le nom d’hôte comme Dev récupéré du plugin CrowdStrike.

    3. Cliquez sur Save.

    Configurer les actions Risk Exchange pour CrowdStrike

    Le plugin CrowdStrike prend en charge ces types d’actions :

    • Add/Remove Tag(s): Les utilisateurs peuvent ajouter ou supprimer des balises de l'hôte à l'aide de cette action.
    • Put RTR Script: L'action « Mettre le script RTR » place un fichier sur l'hôte en fonction de son score respectif. 
    • No Action: No action will be performed for this action. Users can generate UBA alerts in CTO by using this action and enabling the generate alerts toggle button.
    Vous pouvez effectuer plusieurs actions sur les enregistrements extraits de CrowdStrike sur le locataire Netskope. Pour effectuer les actions associées sur Netskope, consultez le guide du plugin Netskope Risk Exchange.

    Add/Remove Tags

    1. Accédez à Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.

    2. Select la règle commerciale, la configuration et l'action Add/Remove Tag(s) requises dans leurs menus déroulants respectifs, puis saisissez ces paramètres.

      • Action Type: ce champ doit être statique. Les utilisateurs peuvent sélectionner Ajouter des balises ou Supprimer des balises selon leurs besoins.
      • Host ID: Ce champ peut être mappé au champ Source, ou peut être statique où les utilisateurs peuvent fournir l’ID de l’hôte comme chaîne.
      • Tag(s): vous pouvez fournir des valeurs séparées par des virgules pour les balises ou mapper plusieurs champs source selon vos besoins.
        Format de l'entrée statique : Tag1,Tag2,Tag3
    3. Activez la case à cocher Require Approval si une approbation est nécessaire avant d'effectuer une action sur les hôtes.

    4. Cliquez sur Save.

    Mettre le script RTR en action

    1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.

    2. Select la règle de gestion, la configuration et l’action Put RTR Script requises dans leurs menus déroulants respectifs, puis saisissez ces paramètres :

      • Host ID: Mappez l'ID d'agent/l'ID d'hôte de l'hôte pour effectuer l'action sur celui-ci.
      • Overall Assessment Score: Mappez le score d'évaluation global à prendre en compte lors de l'exécution de l'action.
    3. Activez la case à cocher Require Approval si une approbation est nécessaire avant d'effectuer une action sur les hôtes.

      Note

      • Si Statique est sélectionné dans la liste déroulante Score et qu’une valeur est fournie, alors la valeur fournie sera considérée comme le score lors de l’exécution de l’action Exécuter un script RTR.
      • Les champs mappés avec l’ ID de l’hôte lors de la configuration du plugin seront nécessaires pour effectuer une action sur les Hôtes.
    4. Cliquez sur Save.

    No Action

    1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.

    2. Select une règle métier, une Configuration et l’Action No Action dans leurs menus déroulants respectifs.

    3. Enable the Generate Alert toggle to generate alerts in Ticket Orchestrator.

    4. Activez la case à cocher Exiger l'approbation si une approbation est nécessaire avant d'effectuer une action sur les utilisateurs.

    5. Cliquez sur Save.

    Valider le plugin CrowdStrike

    Valider dans Cloud Exchange

    Pour valider le tirage :

    Accédez à Risk Exchange et cliquez sur Records. Select l'entité qui est sélectionnée lors de la configuration du mappage de champs pour les agents/hôtes afin d'afficher les agents/hôtes extraits.

    Allez sur Logging et recherchez les journaux du plugin.

    Rendez-vous sur Logging pour vérifier l'action effectuée sur un hôte. Vous pouvez appliquer le filtre en utilisant le nom du plugin ou le nom de la configuration du plugin.

    Pour l’action Ajouter/Supprimer une étiquette

    Pour l'action Put RTR Script

    Lorsqu'un utilisateur correspond à l'une des règles métier configurées, l'action configurée sera effectuée sur l'utilisateur. Cela peut être vu dans Risk Exchange > Journaux d'action.

    Valider dans CrowdStrike

    Les informations relatives aux risques (scores) des hôtes sont extraites de Host Setup and Management > Zero trust assessment dans CrowdStrike.

    Les étiquettes et autres détails associés aux hôtes sont tirés de Host Setup and Management  > Host management dans CrowdStrike.

    Pour l’action Ajouter/Supprimer une étiquette

    Vous pouvez filtrer l'hôte à l'aide du nom ou de l'identifiant de l'hôte, puis vérifier les balises ajoutées/supprimées dans le champ Balises pour cet hôte particulier.

    Pour l'action Put RTR Script

    Si vous souhaitez valider l'action Put RTR Script et vérifier le fichier ajouté sur la machine hôte, voici le site workflow pour l'action Put RTR Script avec ses étapes de validation.

    Workflow

    Step 1: Check Host Existence – Lorsque l’action est déclenchée, le plugin vérifie d’abord si l’hôte avec l’identifiant d’hôte donné existe sur la plateforme CrowdStrike.

    Step 2: Evaluate a Host Presence

    • Si l'hôte n'existe pas, le plugin n'effectue aucune action supplémentaire et émet un avertissement.
    • Si l'hôte existe, le plugin procède aux opérations suivantes.

    Step 3: Create Score Files on the RTR Cloud – Le plugin crée un fichier pour chaque plage de score de risque sur le cloud RTR. Par exemple, si le score est compris entre 1 et 25, le fichier est nommé crwd_zta_1_25.txt.

    Si un fichier portant le même nom existe déjà, l'API ne créera pas de fichier New.

    Step 4: Establish a Host Session – Une fois les fichiers nécessaires créés, le plugin lance une session avec l'hôte à l'aide de l'ID d'hôte.

    Step 5: Retrieve Host OS – Le plugin récupère les informations sur le système d’exploitation (OS) de l’hôte respectif.

    Step 6: Change Directory Based on OS

    • En fonction du système d'exploitation de l'hôte, le plugin envoie un appel API pour modifier le répertoire à l'emplacement approprié.
      • For Mac: cd “/Library/Application Support/Netskope/STAgent”
      • For Windows: cd “/Program Files (x86)/Netskope/STAgent”
    • Le plugin attend jusqu'à 5 minutes l'exécution de la commande. Si le délai est plus long, une erreur de dépassement de délai est signalée. Ce délai s'applique aux commandes des étapes 6, 7 et 8.

    Step 7: Check if the script for removal of file for OS is present on RTR Cloud

    • Afin de supprimer les fichiers existants de la machine hôte, le plugin doit vérifier si la suppression du script existe déjà sur RTR Cloud ou non.
    • Comme l'action Put RTR Script prend en charge Windows et macOS, les fichiers Windows Score File Removal Script et Mac Score File Removal Script doivent être présents sur le RTR Cloud.

    Step 8: Create script if it does not exist on RTR cloud – Si le script pour le système d'exploitation respectif n'existe pas sur le cloud RTR, créez-en un.

    Step 9: Remove existing files from host machine – Exécutez le script pour le système d’exploitation correspondant de la machine hôte afin de supprimer les fichiers existants.

    Step 10: Upload New Score File

    • Après avoir supprimé les anciens fichiers de score, le plugin exécute une commande put pour télécharger le fichier de score New.
    • Si le score existant était de 12 (nécessitant crwd_zta_1_25.txt), et que le score passe à 48, le fichier New (crwd_zta_26_50.txt) est téléchargé.

    Step 11: Delete Host Session – Une fois toutes les étapes terminées, le plugin supprime la session créée avec l’hôte pour libérer les ressources et garantir un nettoyage approprié

    Étapes pour valider une action sur CrowdStrike

    1. Sur CrowdStrike, allez sur Host setup and management > Host management. 
    2. Recherchez votre hôte à l'aide de votre nom d'hôte ou de votre ID d'hôte. Cliquez sur le nom d'hôte.
    3. Dans le menu contextuel de gauche, cliquez sur Settings icon > Connect to Host.


    Pour vérifier le fichier ajouté sur l'hôte, allez sur le chemin ci-dessous après vous être connecté à l'hôte et vérifiez le fichier de score créé.

    • Pour Windows : C:\\Program Files (x86)\\Netskope\\STAgent
    • Pour Mac : /Library/Application Support/Netskope/STAgent

    Dépannage du plugin CrowdStrike

    Impossible de configurer le plugin CrowdStrike

    Si vous n'arrivez pas à configurer le plugin CrowdStrike, cela peut être dû à l'une des raisons suivantes :

    • Fourni un identifiant de client et un secret de client incorrects.
    • Les informations d'identification fournies ne disposent pas d'autorisations suffisantes.

    What to do:

    1. Pour obtenir l'identifiant et le secret du client, suivez les étapes décrites dans la section Obtenir votre identifiant et votre secret du client.
    2. Pour fournir les autorisations appropriées au paramètre de configuration, suivez les étapes décrites dans la section Ajouter une autorisation pour une politique de réponse.
    Impossible d'extraire des hôtes

    Si vous n'arrivez pas à extraire des hôtes du plugin CrowdStrike, cela peut être dû à l'une des raisons suivantes :

    • Aucun hôte n'est présent sur la plateforme CrowdStrike.
    • Une erreur est survenue lors du retrait des hôtes de la plate-forme.
    • Le mappage n'est pas ajouté lors de la configuration du plugin dans la page source de l'entité.

    What to do:

    1. Vérifiez sur la plateforme CrowdStrike si Hosts existe ou non.
    2. Réception d'une erreur 500 : Le serveur pourrait être en panne. Attendez un peu et vérifiez plus tard.
    3. Erreur 403 reçue : le paramètre de configuration du plugin ne dispose pas des autorisations suffisantes ou les identifiants n'existent plus. Vérifiez les autorisations de l’ID client et du secret.
    4. S’il n’y a pas d’erreur dans les journaux, il se peut que les hôtes ne soient pas disponibles sur la plateforme pour extraire. Vérifiez l’hôte disponible sur CrowdStrike et confirmez-le.
    5. Assurez-vous que le mappage est ajouté et que le champ Host ID est mappé lors de la configuration du plugin.
    Impossible de récupérer les scores de l'hôte tiré au sort

    Si vous n'êtes pas en mesure d'obtenir les scores de tous les hôtes ou de certains d'entre eux à partir de la plate-forme, cela peut être dû à l'une des raisons suivantes :

    • Valeur maximale du score fournie dans la configuration du plugin.
    • Le champ score n'est pas mappé lors de la configuration du plugin.

    What to do:

    1. Vérifiez la page des paramètres de configuration du plugin. Augmentez la valeur du score maximal dans la configuration du plugin. Le plugin récupère les scores des hôtes dont la valeur sera inférieure ou égale à la valeur du champ « Score maximal ».
    2. Veillez à mettre en correspondance le champ overallAssessmentScore pour obtenir les résultats.
    Impossible d'afficher les détails des hôtes sur l'enregistrement

    Si vous ne parvenez pas à afficher les détails des hôtes dans le tableau des enregistrements, cela peut être dû à l'une des raisons suivantes :

    • Le mappage de tous les champs CrowdStrike n'est pas fourni lors de la configuration du plugin CrowdStrike.
    • Les hôtes tirés sont affichés sur une ligne avec des valeurs séparées par des virgules.

    What to do:

    1. Veillez à fournir le mappage nécessaire lors de la configuration du plugin.
    2. Assurez-vous que les champs créés dans une entité sont conformes aux mappages.
    Impossible d'effectuer une action sur les hôtes

    Si vous ne pouvez pas effectuer d'action sur l'hôte, cela peut être dû à l'une des raisons suivantes :

    • L'autorisation donnée pour l'action n'est pas suffisante.
    • Réception d'une erreur lors de l'exécution d'une action.
    • L'hôte n'est pas présent sur la plateforme CrowdStrike.
    • La case à cocher Require Approval est activée lors de la configuration de l'action et la demande n'est pas approuvée.

    What to do:

    1. Une autorisation insuffisante a été fournie pour l’action. Vérifiez si l’autorisation RTR Script est fournie.
    2. Si la machine hôte est en panne ou n'existe pas, le plugin ne pourra pas exécuter avec succès l'action Put RTR Script. Vérifiez que l'hôte est accessible.
    3. Si l'hôte est Linux, l'action ne sera pas exécutée, car Linux n'est PAS un système d'exploitation pris en charge.
    4. Si trop d'actions sont effectuées sur un hôte, vous risquez de rencontrer une erreur 425, qui ajoutera l'action à la file d'attente. Vous devez attendre un peu avant de réessayer d'effectuer l'action.
    5. Allez sur la plateforme CrowdStrike, vérifiez si l'hôte sur lequel l'action doit être effectuée est présent ou non.
    6. Allez sur Action Logs, sélectionnez les journaux pour lesquels vous voulez approuver les demandes et cliquez sur l'icône d'approbation, ou désactivez la bascule Require Approval de l'action configurée, puis exécutez à nouveau l'action.

    Comportement connu

    Après avoir mis à jour CRE CrowdStrike vers la version v1.1.0 Comme les anciennes versions de ce plugin utilisaient des permissions différentes, les utilisateurs seront confrontés à l'erreur ci-dessous. Vous devrez soit mettre à jour les autorisations pour les informations d'identification existantes, soit créer des informations d'identification New avec les autorisations requises.

    CRE CrowdStrike [CS Upgrade 2]: Received exit code 403, Forbidden access while Adding tag 'FalconGroupingTags/testupgrade' on batch 1/1 (1 host(s)).
    Dans ce thème
    • Plugin CrowdStrike pour Risk Exchange