Come integrare i dati di Dell Trusted Device nelle soluzioni SIEM di nuova generazione di CrowdStrike

Prodotti interessati:

• Dell Trusted Device
• CrowdStrike

Dell Trusted Device raccoglie i dati di telemetria al di sotto del sistema operativo, fornendo informazioni preziose per varie attività pratiche. Caricando questa telemetria su CrowdStrike SIEM di nuova generazione, i professionisti IT possono migliorare la loro capacità di rilevare e rispondere alle minacce avanzate. Questa integrazione offre una visione completa dell'integrità e della sicurezza dei dispositivi, consentendo un monitoraggio e una risposta agli incidenti più efficaci. Le sezioni seguenti illustrano il processo di configurazione completo, da seguire nell'ordine indicato.

Sommario

• Prerequisiti
• Conferma dell'installazione di Dell Trusted Device
• Accedere a CrowdStrike Falcon
• Configurazione e attivazione del connettore dati HEC/HTTP in CrowdStrike
• Configurazione del mittente dati
• Installazione del raccoglitore LogScale

Prerequisiti

• SIEM di nuova generazione CrowdStrike Falcon

Torna all'inizio

Conferma dell'installazione di Dell Trusted Device

Il Dell Trusted Device deve essere installato e generare telemetria. Questi articoli consentono di scaricare e installare Dell Trusted Device, se necessario.

• Come scaricare Dell Trusted Device
• Come installare Dell Trusted Device

Torna all'inizio

Accedere a CrowdStrike Falcon

1. In un browser Google Chrome o Microsoft Edge, accedere alla console Falcon accedendo a URL.
   • Falco US-1: https://falcon.crowdstrike.com/login/
   • Falco US-2: https://falcon.us-2.crowdstrike.com/login/
   • Falcon EU-1: https://falcon.eu-1.crowdstrike.com/login/
   • Falco US-GOV-1: https://falcon.laggar.gcw.crowdstrike.com/login/
2. Effettuare l'accesso a Falcon Console.
   

Torna all'inizio

Configurazione e attivazione del connettore dati HEC/HTTP in CrowdStrike

1. Nel riquadro del menu a sinistra, cliccare su Next-Gen SIEM e selezionare Data onboarding.
   
2. Nella sezione Connessioni, fare clic su + Aggiungi connessione.
   
3. Cliccare su Filter by connector name e inserire HEC/HTTP Event Connector, quindi cliccare su Apply.
   
   Nota: In alternativa, è possibile sfogliare tutti i connettori e individuare HEC/HTTP manualmente.
4. Cliccare su HEC/HTTP Event Connector.
   
5. Nel riquadro Nuova connessione, fare clic su Configura.
   
6. Nella pagina Add new connector, immettere le informazioni riportate di seguito, cliccare sulla casella di controllo per accettare i termini e le condizioni, quindi cliccare su Create connection.
   • Origine dati: Creato dal cliente
   • Nome connettore: Creato dal cliente
   • Descrizione (opzionale): Creato dal cliente
   • Parser: dell-trusteddevice (Dell Trusted Device)
   
7. Nella finestra di dialogo Configurazione del connettore in corso, cliccare su Chiudi.
   
8. Cliccare su Connessioni dati in alto a sinistra.
   
   Nota: In alternativa, è possibile ripetere il passaggio 3 per tornare alla stessa area.
9. Nella pagina Data Onboarding, individuare la connessione dati creata in Configurare e attivare il connettore dati HEC/HTTP in CrowdStrike (passaggio 6 precedente) e selezionare il nome della connessione.
   
10. Cliccare su Genera chiave API per generare una nuova chiave API.
    
    Nota: La chiave API viene visualizzata solo una volta. Copiarlo e conservarlo in modo sicuro per utilizzarlo in un passaggio futuro.
11. Una volta documentata la chiave API, fai clic su Chiudi.
    
    Nota: Se è necessario rigenerare la chiave API, è possibile ripetere il passaggio 11 e utilizzare il pulsante Rigenera chiave API in alto a destra.
    

Torna all'inizio

Configurazione del mittente dati

1. Nel riquadro del menu a sinistra, cliccare su Next-Gen SIEM e selezionare Data onboarding.
   
2. Dalla pagina Data onboarding, cliccare su Fleet management.
   
3. Dalla pagina Gestione flotta, cliccare su Panoramica configurazione.
   
4. Nella pagina Config Overview, cliccare su + New config
   
5. Nella finestra di dialogo Nuova configurazione, immettere un nome, selezionare Configurazione vuota, quindi fare clic su Crea nuovo.
   
6. Nell'editor Bozza, inserisci le informazioni riportate di seguito. Per i valori Token e URL, fare riferimento a Configurare e attivare il connettore dati HEC/HTTP in CrowdStrike (passaggio 13).

   //unformattedcode
   Example config using default listening port 514
    
   sources:
     windowsEvents:
       type: wineventlog
       sink: logscaleSink
       channels:
         - name: "Dell Trusted Device"
         - name: Dell
   sinks:
     ngsiem:
       type: hec
       proxy: none
       token: <API_key_generated_during_data_connector_setup>
       url: <API_URL_generated_during_data_connector_setup>
   //unformattedcode
   

7. Una volta inserite le informazioni del passaggio 6, cliccare su Save, quindi su Publish.
   
8. Da Gestione flotta, cliccare su Token di registrazione.
   
9. Cliccare su + New token.
   
10. Nella nuova finestra di dialogo Token di registrazione, fornire un nome per il token, utilizzando l'elenco a discesa della configurazione assegnata, selezionare il nome della configurazione dal passaggio 5, quindi cliccare su Crea token.
    

Torna all'inizio

Installazione del raccoglitore LogScale

1. Nel riquadro del menu a sinistra, cliccare su Next-Gen SIEM e selezionare Data onboarding.
   
2. Dalla pagina Data onboarding, cliccare su Fleet management.
   
3. Cliccare su Get LogScale Collector.
   
4. Nella finestra di dialogo Ottieni Falcon LogScale Collector fare clic su Windows, nell'elenco a discesa Seleziona un token di registrazione selezionare il token creato durante Configura il data-shipper (passaggio 10), quindi fare clic sul pulsante Copia .
   
5. In Windows, fai clic con il pulsante destro del mouse su Start e seleziona Terminale (amministratore).
   
   Nota: Cliccare su Sì se viene richiesto Controllo account utente di Windows.
6. Nella finestra Terminale, incollare il comando copiato da Configurare il mittente dati (passaggio 6) e premere Invio.
   
7. Una volta completato il comando, viene visualizzato un messaggio "Bootstrap complete" come di seguito.
   

Torna all'inizio