如何将戴尔可信设备遥测集成到 CrowdStrike 下一代 SIEM

摘要: 了解戴尔可信设备的遥测技术如何增强 CrowdStrike 下一代 SIEM，使 IT 专业人员能够通过全面了解设备运行状况和安全性来检测和响应高级威胁。

说明

受影响的产品

提供反馈

本文适用于本文不适用于本文并非针对某种特定的产品。本文并非包含所有产品版本。

查看其他资源

说明

受影响的产品：

戴尔可信设备
CrowdStrike

戴尔可信设备从作系统下方收集遥测数据，为各种可作任务提供有价值的见解。通过将此遥测数据上传到 CrowdStrike Next-Gen SIEM，IT 专业人员可以增强其检测和响应高级威胁的能力。这种集成提供了设备运行状况和安全性的全面视图，从而实现更有效的监视和事件响应。以下各节将指导您完成完整的设置过程，应按显示的顺序进行作。

前提条件

CrowdStrike Falcon 下一代 SIEM

返回页首

确认戴尔可信设备安装

必须安装戴尔可信设备并生成遥测。如果需要，这些文章可帮助您下载并安装戴尔可信设备。

返回页首

登录 CrowdStrike Falcon

在 Google Chrome 或 Microsoft Edge 浏览器中，转至 Falcon 控制台登录 URL。
- 猎鹰US-1： https://falcon.crowdstrike.com/login/
- 猎鹰US-2： https://falcon.us-2.crowdstrike.com/login/
- Falcon EU-1： https://falcon.eu-1.crowdstrike.com/login/
- Falcon US-GOV-1： https://falcon.laggar.gcw.crowdstrike.com/login/
登录到Falcon控制台。

返回页首

在 CrowdStrike 中配置并激活 HEC/HTTP 数据连接器

在左侧菜单窗格中，单击 Next-Gen SIEM ，然后选择 Data onboarding。
在“连接”部分中，单击“ + 添加连接”。
单击 Filter by connector name，输入 HEC/HTTP Event Connector，然后单击 Apply。

提醒：或者，您可以浏览所有连接器并手动找到 HEC/HTTP。
单击 HEC/HTTP 事件连接器。
在新建连接窗格中，单击配置。
在添加新连接器页面上，输入以下信息，单击复选框以接受条款和条件，然后单击 创建连接。
- 数据来源：由客户创建
- 连接器名称：由客户创建
- 说明（可选）：由客户创建
- 解析器：dell-trusteddevice（戴尔可信设备）
在“正在设置连接器”对话框中，单击 “关闭”。
单击左上角 的 Data connections 。

提醒：或者，您可以重复步骤 3 以返回到同一区域。
在Data Onboarding页面上，找到在 CrowdStrike中配置和激活HEC/HTTP数据连接器（上面的步骤6）中创建的数据连接，然后选择 Connection name。
单击 生成 API 密钥 以生成新的 API 密钥。

提醒：API 密钥仅显示一次。复制它并妥善存储，以备将来使用。
记录 API 密钥后，单击 Close。

提醒：如果您必须重新生成 API 密钥，则可以重复步骤 11 并使用右上角的 Regenerate API Key 按钮 。

返回页首

配置数据传送器

在左侧菜单窗格中，单击 Next-Gen SIEM ，然后选择 Data onboarding。
从 Data onboarding 页面中，单击 Fleet management。
从 Fleet management 页面中，单击 Config overview。
在“Config overview”页面上，单击“+ New config”
在“New Config”对话框中，输入“Name”，选择“Empty config”，然后单击“ Create new”。

在草稿编辑器中，输入以下信息。有关令牌和URL值，请参阅在CrowdStrike中配置并激活HEC/HTTP数据连接器（步骤13）。

//unformattedcode
Example config using default listening port 514
 
sources:
  windowsEvents:
    type: wineventlog
    sink: logscaleSink
    channels:
      - name: "Dell Trusted Device"
      - name: Dell
sinks:
  ngsiem:
    type: hec
    proxy: none
    token: <API_key_generated_during_data_connector_setup>
    url: <API_URL_generated_during_data_connector_setup>
//unformattedcode

在步骤 6 中输入信息后，单击 Save，然后单击 Publish。
在队列管理中，单击 注册令牌。
单击 + New token。
在“New Enrollment token”对话框中，提供令牌名称，使用分配的配置选择列表选择步骤 5 中的配置名称，然后单击 Create token。

返回页首

安装 LogScale 收集器

在左侧菜单窗格中，单击 Next-Gen SIEM ，然后选择 Data onboarding。
从 Data onboarding 页面中，单击 Fleet management。
单击 Get LogScale Collector。
在获取 Falcon LogScale 收集器对话框中，单击 Windows，在选择注册令牌选择列表中，选择在配置数据传送器（步骤 10）期间创建的令牌，然后单击复制按钮。
在 Windows 中，右侧开始按钮，然后选择终端（管理员）。

提醒：如果系统提示您进行 Windows 用户帐户控制，请单击 Yes。
在“终端”窗口中，粘贴从配置数据传送器（步骤 6）复制的命令，然后按 Enter 键。
命令成功完成后，您会看到如下所示 的“引导完成” 消息。