Como integrar dados de Dell Trusted Device ao SIEM de próxima geração do CrowdStrike

Produtos afetados:

• Dell Trusted Device
• CrowdStrike

O Dell Trusted Device coleta dados de telemetria abaixo do sistema operacional, fornecendo insights valiosos para várias tarefas acionáveis. Ao carregar essa telemetria no SIEM de próxima geração do CrowdStrike, os profissionais de TI podem aprimorar sua capacidade de detectar e responder a ameaças avançadas. Essa integração oferece uma visão abrangente da integridade e da segurança do dispositivo, permitindo um monitoramento e uma resposta a incidentes mais eficazes. As seções a seguir guiam você pelo processo de configuração completo, que deve ser seguido na ordem apresentada.

Sumário

• Pré-requisitos
• Confirme a instalação do Dell Trusted Device
• Faça login no CrowdStrike Falcon
• Configurar e ativar o conector de dados HEC/HTTP no CrowdStrike
• Configurar o transportador de dados
• Instalando o coletor LogScale

Pré-requisitos

• SIEM de última geração CrowdStrike Falcon

Voltar ao início

Confirme a instalação do Dell Trusted Device

O Dell Trusted Device deve estar instalado e gerando telemetria. Estes artigos ajudarão você a fazer download e instalar o Dell Trusted Device, se necessário.

• Como fazer download do Dell Trusted Device
• Como instalar o Dell Trusted Device

Voltar ao início

Faça login no CrowdStrike Falcon

1. Em um navegador Google Chrome ou Microsoft Edge, acesse o login do console Falcon URL.
   • Falcão US-1: https://falcon.crowdstrike.com/login/
   • Falcão US-2: https://falcon.us-2.crowdstrike.com/login/
   • Falcão EU-1: https://falcon.eu-1.crowdstrike.com/login/
   • Falcão US-GOV-1: https://falcon.laggar.gcw.crowdstrike.com/login/
2. Faça log-in no console Falcon.
   

Voltar ao início

Configurar e ativar o conector de dados HEC/HTTP no CrowdStrike

1. No painel do menu esquerdo, clique em SIEM de próxima geração e selecione Integração de dados.
   
2. Na seção Conexões, clique em + Adicionar conexão.
   
3. Clique em Filtrar pelo nome do conector, digite o conector de evento HEC/HTTP e, em seguida, clique em Aplicar.
   
   Nota: Como alternativa, você pode procurar todos os conectores e localizar HEC/HTTP manualmente.
4. Clique em HEC/HTTP Event Connector.
   
5. No painel Nova conexão, clique em Configurar.
   
6. Na página Adicionar novo conector, insira as informações abaixo, clique na caixa de seleção para aceitar os Termos e condições e clique em Criar conexão.
   • Fonte de dados: Criado pelo cliente
   • Nome do conector: Criado pelo cliente
   • Descrição (opcional): Criado pelo cliente
   • Analisadores: dell-trusteddevice (Dell Trusted Device)
   
7. Na caixa de diálogo Configuração do conector em andamento, clique em Fechar.
   
8. Clique em Data connections no canto superior esquerdo.
   
   Nota: Como alternativa, você pode repetir a etapa 3 para retornar à mesma área.
9. Na página Integração de dados, localize a conexão de dados criada em Configurar e ativar o conector de dados HEC/HTTP no CrowdStrike (etapa 6 acima) e selecione o Nome da conexão.
   
10. Clique em Generate API key para gerar uma nova chave de API.
    
    Nota: A chave da API é exibida apenas uma vez. Copie-o e armazene-o com segurança para uso em uma etapa futura.
11. Depois de documentar a chave da API, clique em Close.
    
    Nota: Se precisar gerar novamente a chave da API, repita a Etapa 11 e use o botão Regenerate API Key no canto superior direito.
    

Voltar ao início

Configurar o transportador de dados

1. No painel do menu esquerdo, clique em SIEM de próxima geração e selecione Integração de dados.
   
2. Na página Data onboarding, clique em Fleet management.
   
3. Na página Gerenciamento de frota, clique em Visão geral de configuração.
   
4. Na página Config overview, clique em + New config
   
5. Na caixa de diálogo New Config, digite um Name, selecione Empty config e clique em Create new.
   
6. No Editor de rascunho, insira as informações abaixo. Para obter os valores de token e URL, consulte Configurar e ativar o conector de dados HEC/HTTP no CrowdStrike (Etapa 13).

   //unformattedcode
   Example config using default listening port 514
    
   sources:
     windowsEvents:
       type: wineventlog
       sink: logscaleSink
       channels:
         - name: "Dell Trusted Device"
         - name: Dell
   sinks:
     ngsiem:
       type: hec
       proxy: none
       token: <API_key_generated_during_data_connector_setup>
       url: <API_URL_generated_during_data_connector_setup>
   //unformattedcode
   

7. Depois de inserir as informações na Etapa 6, clique em Salvar e, em seguida, clique em Publicar.
   
8. Em Fleet management, clique em Enrollment tokens.
   
9. Clique em + New token.
   
10. Na nova caixa de diálogo Token de inscrição, forneça um nome de token. Usando a lista de seleção de configuração atribuída, selecione o nome da configuração na Etapa 5 e clique em Criar token.
    

Voltar ao início

Instalando o coletor LogScale

1. No painel do menu esquerdo, clique em SIEM de próxima geração e selecione Integração de dados.
   
2. Na página Data onboarding, clique em Fleet management.
   
3. Clique em Get LogScale Collector.
   
4. Na caixa de diálogo Get Falcon LogScale Collector, clique em Windows, na lista de seleção Select an enrollment token, escolha o token criado durante a configuração do remetente de dados (Etapa 10) e clique no botão Copy .
   
5. No Windows, clique no botão Iniciar e selecione Terminal (Admin).
   
   Nota: Clique em Sim se for solicitado o Controle de Conta de Usuário do Windows.
6. Na janela Terminal, cole o comando copiado de Configure the data shipper (etapa 6) e pressione Enter.
   
7. Quando o comando for concluído com sucesso, você verá uma mensagem "Bootstrap complete", como abaixo.
   

Voltar ao início