CrowdStrike - Netskope ナレッジポータル

CrowdStrikeは、侵害やマルウェア攻撃を防止するエージェントベースのセンサーです。一般にCrowdStrike Falcon センサーとして知られる単一のエージェントによって、エンドポイントの検出と応答 (EDR) サービスをすべてのエンドポイントに提供します。

このドキュメントには、CrowdStrikeとNetskope Client間の円滑な相互運用性を確保するためのベストプラクティスが記載されています。

環境

この文書は以下の構成要素から作成されました：

テナントのウェブUI Netskope 特定の設定により、いずれのアプリケーションからのプロセスやトラフィックもブロックされず、 Netskope クラウドに誘導されることを防げます。 Netskopeステアリング構成には例外を追加する必要があります。詳細については、「例外」をご覧ください。

NetskopeテナントのWebUIにステアリング構成の例外（証明書ピン留めアプリケーション例外タイプ）を追加して、CrowdStrikeトラフィックがNetskopeをバイパスして宛先に到達できるようにします。

Netskope UI に CrowdStrike を証明書ピン留めアプリケーションとして追加するには:

Settings > Security Cloud Platform > Steering Configurationへ移動してください。
Default tenant configをクリックしてください。
On the Default tenant config page, click EXCEPTION > NEW EXCEPTION > Certificate Pinned Applications.
New Exceptionウィンドウで、以下の操作を行います。
1. Certificate Pinned AppからCrowdStrike Falconを選択します。
2. Actionsから、宛先に直接アクセスを許可するすべてのオペレーティングシステムに対してBypassを選択してください。
3. ADDをクリックしてください。

クライアントの動作を検証するために使用できる検証済みの使用ケースのリストを参照してください。

CrowdStrike Falcon Sensorを検証するには、コマンドプロンプト（cmd.exe）を開き、次のコマンドを実行します： choice /M crowdstrike_sample_detection 。

これにより検出がトリガーされ、最近の検出を確認します。「アクティビティ」>「検出」を選択して、Falcon コンソール上の新しいアラートを検査します。

CrowdStrike 、APIレベルでのアクティビティを監視するために、 Netskope Clientプロセスのメモリに以下のDLLを注入します。

DLL名に含まれるバージョン番号は変更される場合があります。

CrowdStrikeコンソールで以下のプロセスを除外して、クライアントプロセス実行ファイルがDLLによって注入されるのを防止してください。

まれに、CrowdStrikeのDLLを挿入すると、不安定性や予期せぬ動作が発生することがあります。トラブルシューティングのため、CrowdStrikeの設定でNetskope Clientのプロセスを許可リストに追加して問題を解決してください。