Cómo integrar los datos de Dell Trusted Device en SIEM de última generación de CrowdStrike

Productos afectados:

• Dell Trusted Device
• CrowdStrike

Dell Trusted Device recopila datos de telemetría desde debajo del sistema operativo, lo que proporciona información valiosa para diversas tareas procesables. Mediante la carga de esta telemetría en la SIEM de última generación de CrowdStrike, los profesionales de TI pueden mejorar su capacidad de detectar y responder a las amenazas avanzadas. Esta integración ofrece una vista completa del estado y la seguridad de los dispositivos, lo que permite un monitoreo y una respuesta ante incidentes más eficaces. Las siguientes secciones lo guían a través del proceso de configuración completo, que se debe seguir en el orden en que se presenta.

Tabla de contenido

• Requisitos previos
• Confirmar la instalación de Dell Trusted Device
• Inicie sesión en CrowdStrike Falcon
• Configurar y activar el conector de datos HEC/HTTP en CrowdStrike
• Configurar el transportista de datos
• Instalación del recopilador de LogScale

Requisitos previos

• SIEM de última generación CrowdStrike Falcon

Volver al principio

Confirmar la instalación de Dell Trusted Device

Dell Trusted Device debe estar instalado y generar telemetría. Estos artículos lo ayudan a descargar e instalar Dell Trusted Device si es necesario.

• Cómo descargar Dell Trusted Device
• Cómo instalar Dell Trusted Device

Volver al principio

Inicie sesión en CrowdStrike Falcon

1. En un navegador Google Chrome o Microsoft Edge, vaya al inicio de sesión de la consola Falcon URL.
   • Falcon US-1: https://falcon.crowdstrike.com/login/
   • Falcon US-2: https://falcon.us-2.crowdstrike.com/login/
   • Falcon EU-1: https://falcon.eu-1.crowdstrike.com/login/
   • Falcon US-GOV-1: https://falcon.laggar.gcw.crowdstrike.com/login/
2. Inicie sesión en Falcon Console.
   

Volver al principio

Configurar y activar el conector de datos HEC/HTTP en CrowdStrike

1. En el panel de menú de la izquierda, haga clic en Next-Gen SIEM y, a continuación, seleccione Data onboarding.
   
2. En la sección Conexiones, haga clic en + Agregar conexión.
   
3. Haga clic en Filtrar por nombre del conector, ingrese Conector de eventos HEC/HTTP y, a continuación, haga clic en Aplicar.
   
   Nota: Como alternativa, puede navegar por todos los conectores y localizar HEC/HTTP manualmente.
4. Haga clic en HEC/HTTP Event Connector.
   
5. En el panel Nueva conexión, haga clic en Configurar.
   
6. En la página Agregar nuevo conector, ingrese la siguiente información, haga clic en la casilla de verificación para aceptar los Términos y condiciones y haga clic en Crear conexión.
   • Origen de datos: Creado por el cliente
   • Nombre del conector: Creado por el cliente
   • Descripción (opcional): Creado por el cliente
   • Analizadores: dell-trusteddevice (Dell Trusted Device)
   
7. En el cuadro de diálogo Connector setup in progress, haga clic en Close.
   
8. Haga clic en Conexiones de datos en la parte superior izquierda.
   
   Nota: Como alternativa, puede repetir el paso 3 para volver a la misma área.
9. En la página Data Onboarding, busque la conexión de datos creada en Configurar y activar el conector de datos HEC/HTTP en CrowdStrike (paso 6 desde arriba) y seleccione el nombre de la conexión.
   
10. Haga clic en Generar clave de API para generar una nueva clave de API.
    
    Nota: La clave de API solo se muestra una vez. Cópielo y guárdelo de forma segura para usarlo en un paso futuro.
11. Una vez que hayas documentado tu clave de API, haz clic en Cerrar.
    
    Nota: Si debe volver a generar la clave de API, puede repetir el paso 11 y usar el botón Regenerar clave de API de la esquina superior derecha.
    

Volver al principio

Configurar el transportista de datos

1. En el panel de menú de la izquierda, haga clic en Next-Gen SIEM y, a continuación, seleccione Data onboarding.
   
2. En la página Data onboarding, haga clic en Fleet management.
   
3. En la página Fleet management, haga clic en Config overview.
   
4. En la página Config overview, haga clic en + New config
   
5. En el cuadro de diálogo New Config, ingrese un nombre, seleccione Empty config y, a continuación, haga clic en Create new.
   
6. En el editor Borrador, ingrese la siguiente información. Para conocer los valores de Token y URL, consulte Configurar y activar el conector de datos HEC/HTTP en CrowdStrike ( paso 13).

   //unformattedcode
   Example config using default listening port 514
    
   sources:
     windowsEvents:
       type: wineventlog
       sink: logscaleSink
       channels:
         - name: "Dell Trusted Device"
         - name: Dell
   sinks:
     ngsiem:
       type: hec
       proxy: none
       token: <API_key_generated_during_data_connector_setup>
       url: <API_URL_generated_during_data_connector_setup>
   //unformattedcode
   

7. Una vez que tenga la información ingresada en el paso 6, haga clic en Save y, a continuación, haga clic en Publish.
   
8. En Fleet management, haga clic en Enrollment tokens.
   
9. Haga clic en + Nuevo token.
   
10. En el nuevo cuadro de diálogo Token de inscripción, proporcione un nombre de token. Mediante la lista desplegable de configuración asignada, seleccione el nombre de configuración del paso 5 y haga clic en Crear token.
    

Volver al principio

Instalación del recopilador de LogScale

1. En el panel de menú de la izquierda, haga clic en Next-Gen SIEM y, a continuación, seleccione Data onboarding.
   
2. En la página Data onboarding, haga clic en Fleet management.
   
3. Haga clic en Get LogScale Collector.
   
4. En el cuadro de diálogo Get Falcon LogScale Collector, haga clic en Windows, en la lista desplegable Select an enrollment token, seleccione el token creado durante Configure the data shipper (paso 10) y, a continuación, haga clic en el botón Copy .
   
5. En Windows, presione con el botón derecho el botón Inicio y seleccione Terminal (Administrador).
   
   Nota: Haga clic en Sí si se le solicita el Control de cuentas de usuario de Windows.
6. En la ventana Terminal, pegue el comando copiado de Configurar el transportista de datos (paso 6) y presione Enter.
   
7. Una vez que el comando se completa correctamente, verá un mensaje " Bootstrap completo" como el que se muestra a continuación.
   

Volver al principio