CrowdStrikeの統合には、CrowdStrike内でAPIクライアントを設定する必要があります。また、これらのステップを完了するにはCrowdStrike APIクライアントIDとシークレットが必要です。APIクライアントシークレットは、APIクライアントが作成またはリセットされたときにのみ表示されます。詳細については、「 Getting access to the CrowdStrike APIs 」の「 最初のAPIクライアントの定義 」セクションをご参照ください。
NetskopeがマルウェアのハッシュファイルをCrowdStrikeに送信した後、エンドポイントがチェックされ、そのマルウェアのハッシュファイルが存在するかどうかが確認されます。その場合、NetskopeはエンドポイントのIDを取得し、その詳細をSkope ITアラートに記録します。エンドポイントにマルウェア ハッシュ ファイルがない場合、 Netskope Indicators of Compromise インジデントの指標をCrowdStrikeのカスタム インジデントの指標リポジトリに公開します。
CrowdStrikeの検出ページを開き、「戦術と技術」までスクロールダウンして、「侵害指標によるカスタムインテリジェンス」を検索すると、これらのIOCに対する後続のファイル一致を確認できます。そのファイルの実際の内容を確認するには、CrowdStrikeがドキュメントで説明している適切なAPIクエリを実行する必要があります。
CrowdStrikeでAPIクライアントを作成するには：
- CrowdStrikeのユーザーインターフェースで、「APIクライアントとキー」ページに移動します。
- Add new API clientウィンドウにClient Nameを入力し、脅威データを完全に統合して共有するために、次の API スコープを選択します。
- Hosts （ Readのみ）
- IOC Management （ ReadとWrite ）
- IOCs (Indicators of Compromise) （ ReadとWrite ）
- Addをクリックしてください。
- APIクライアント作成ダイアログで、クライアントIDとシークレットをコピーします。これらはCrowdStrikeとNetskopeを統合するために必要です。完了したら、 Doneをクリックしてください。
- 新しい API クライアントが「API クライアントとキー」ページに表示されます。
CrowdStrikeとNetskopeを統合するには、以下の手順に従ってください。
Netskope UIでCrowdStrikeとの連携を設定するには：
- Settings > Threat Protection > Integrationへ移動してください。
- 統合を作成するには、CrowdStrikeアプリケーションボックスをクリックしてください。
- 各フィールドのパラメータを入力して選択してください。
- APIクライアントID：CrowdStrike APIクライアントIDを入力してください。
- APIクライアントシークレット：CrowdStrike APIクライアントシークレットを入力してください。
- Type: Enable Cloud.
- サーバー: 次のURLのいずれかを入力してください:
api.crowdstrike.com、api.eu-1.crowdstrike.com、api.us-2.crowdstrike.com、またはapi.laggar.gcw.crowdstrike.com。詳細については、認証トークンAPIを参照してください。 - インスタンス名：この統合の名前を入力してください。
- 完了したら、 Saveをクリックしてください。
CrowdStrikeを構成した後、 Netskope是正措置を講じられるように脅威を特定するポリシーで使用する修復プロファイルを作成します。
- CrowdStrikeとの連携を指定する修復プロファイルを作成します。
- Policies > Threat Protection > Remediation Profilesに移動して、 New Malware Remediation Profileをクリックしてください。
- CrowdStrike EDRサーバーSelect 、実行するアクションを選択します。
- Alert: 影響を受けたCrowdStrikeエンドポイントに関する情報を提供する修復アラートを生成します。
- Isolate: Netskopeはこのオプションをサポートしていません。
- Add to watchlist/blacklist検出したマルウェアファイルのMD5をCrowdStrikeのカスタムIoCとして追加します。
完了したら、 Nextをクリックしてください。
- プロフィールに名前を付けて、 Save Malware Remediation Profileをクリックしてください。
- API データ保護またはリアルタイム保護ポリシーで修復プロファイルを指定します (リアルタイム保護については、次の手順を参照してください)。
API データ保護ポリシーについては、 Settings > Threat Protection > API Data Protectionにアクセスしてください。 設定セクションまでスクロールダウンして、 Edit Settingsをクリックします。希望する深刻度に応じて、1つまたは複数Remediation Endpointsチェックボックスを有効にしてから、CrowdStrikeの修復プロファイルを選択します。完了したら、 Saveをクリックしてください。
API データ保護ポリシーでの脅威保護の使用の詳細については、 「 API データ保護の脅威保護ポリシーの作成 」を参照してください。
- リアルタイム保護ポリシーについては、 Policies > Real-time Protectionに移動してNew Policyをクリックしてください。作成時に アクションセクションで、アクションのドロップダウンリストからオプションを選択し、次にCrowdStrikeプロファイルをドロップダウンリストから選択します。 リアルタイム保護ポリシーの作成を完了してください。
リアルタイム保護ポリシーでの脅威保護の使用の詳細については、 「リアルタイム保護のための脅威保護ポリシーの作成」を参照してください。
ポリシー設定で修復プロファイルが追加されると、マルウェアが検出された際にSkope ITで修復アラートが生成されます。
