Einführung
In dieser Anleitung erfahren Sie, wie Sie die NordPass-Aktivitätsprotokolle in CrowdStrike Next-Gen SIEM integrieren und wie Sie die Verbindung verwalten und überprüfen können.
Bevor Sie beginnen
Um die NordPass-Aktivitätsprotokolle in CrowdStrike Next-Gen SIEM zu integrieren, müssen Sie:
- ein aktives NordPass Enterprise-Abo und die Rolle „Eigentümer“ oder „Admin“ haben,
- ein CrowdStrike-Abonnement besitzen: Falcon Next-Gen SIEM oder Falcon Next-Gen SIEM 10 GB,
- CrowdStrike-Clouds in US-1, US-2, EU-1, US-GOV1 und US-GOV-2 verfügbar haben und
- über Admin- oder Connector-Manager-Zugriff auf die Falcon-Konsole für die jeweilige CID verfügen.
So gehen Sie vor
So integrieren Sie CrowdStrike
- Generieren Sie ein CrowdStrike-Token in der NordPass-Verwaltungsoberfläche.
- Melden Sie sich bei Ihrem CrowdStrike-Konto an.
- Öffnen Sie in der Falcon-Konsole den linken Bereich, klicken Sie auf die Schaltfläche „Connectors“ unten links und wählen Sie die Option „Data connectors“ aus.
- Klicken Sie anschließend auf die Schaltfläche „+ Add connection“ auf der rechten Seite.
- Suchen Sie unter dem Filter „Vendor“ nach „Nord Security“, wählen Sie diesen aus und klicken Sie auf die Schaltfläche „Apply“.
- Klicken Sie auf die Option „Nord Security NordPass Data Connector“ und wählen Sie die Option „Configure“ auf der rechten Seite aus.
- Geben Sie anschließend den Namen der Verbindung ein und klicken Sie auf die Schaltfläche „Manage“.
- Bestätigen Sie Ihre Entscheidung, indem Sie auf die Schaltfläche „Accept and Continue“ klicken, und wählen Sie dann die Schaltfläche „Add configuration“ aus.
- Geben Sie den Namen der Konfiguration ein, wählen Sie je nach Region des Datenspeichers Ihrer Organisation entweder „US“ oder „EU“ aus und geben Sie die in Schritt 1 generierte URL ein.
- Kopieren Sie den in Schritt 1 generierten API-Token, geben Sie ihn ein, klicken Sie auf die Schaltfläche „Save configuration“ und schließen Sie das Konfigurationsfenster.
- Wählen Sie dann die soeben erstellte Konfiguration aus dem Dropdown-Menü „Data source configuration“ aus.
- Im Abschnitt „Parsing and enrichment“ ist der Standard-Parser für die Verbindung bereits ausgewählt, und die Host-Anreicherung ist standardmäßig aktiviert.
- Wenn Sie einen benutzerdefinierten Parser aktivieren müssen, aktivieren Sie das Kontrollkästchen „Enable parser selection“, akzeptieren Sie die Nutzungsbedingungen und wählen Sie den gewünschten Parser aus.
- Wenn Sie Daten von Drittanbietern nicht mit Hostnamen-Entitäten anreichern möchten, klicken Sie auf das Kontrollkästchen „Enable host enrichment“, um die Option zu deaktivieren.
- Lesen Sie die Nutznugsbedingungen, aktivieren Sie das Kontrollkästchen, um ihnen zuzustimmen, und klicken Sie auf die Schaltfläche „Create connection“.
Hinweis: Sobald die Einrichtung abgeschlossen ist, werden alle 5 Minuten Aktivitätsprotokolldaten in CrowdStrike abgerufen. Bei der ersten Verbindung werden die NordPass-Aktivitätsprotokolle der letzten 7 Tage abgerufen. Danach werden nur noch Datensätze abgerufen, die in dem im Skript festgelegten Intervall generiert wurden.
So verifizieren Sie die erfolgreiche Datenerfassung
- Öffnen Sie in der Falcon-Konsole den linken Bereich, klicken Sie auf die Schaltfläche „Connectors“ unten links und wählen Sie die Option „Data connectors“ aus.
- Überprüfen Sie in der Spalte „Status“, ob der Status der Datenverbindung „Active“ lautet.
- Klicken Sie anschließend auf die Drei-Punkte-Schaltfläche rechts neben Ihrer Verbindung und dann auf die Schaltfläche „Show events“, um alle Ereignisse im Zusammenhang mit dieser Datenverbindung unter „Advanced Event Search“ anzuzeigen.
- Vergewissern Sie sich anschließend, dass mindestens eine Übereinstimmung zwischen dem CrowdStrike- und dem NordPass-Aktivitätsprotokoll generiert wird.
- Wenn Sie eine manuelle Suche durchführen möchten, verwenden Sie diese Abfrage unter „Advanced Event Search“: #Vendor = nordsec | #event.module = „nordpass“
Hinweis: Es kann bis zu 10 Minuten dauern, bis der Connector nach der ersten Integration aktiv wird.
So aktualisieren Sie das Token im Daten-Connector
- Nachdem Sie in der NordPass-Verwaltungsoberfläche ein CrowdStrike-Token generiert haben, melden Sie sich bei Ihrem CrowdStrike-Konto an.
- Öffnen Sie in der Falcon-Konsole den linken Bereich, klicken Sie auf die Schaltfläche „Connectors“ unten links und wählen Sie die Option „Data connectors“ aus.
- Klicken Sie anschließend auf die Drei-Punkte-Schaltfläche rechts neben Ihrer Verbindung und wählen Sie die Schaltfläche „Edit connection“ aus.
- Klicken Sie im Abschnitt „Source Configuration“ auf die Schaltfläche „Manage“ und bestätigen Sie Ihre Entscheidung, indem Sie auf die Schaltfläche „Accept and Continue“ klicken.
- Wenn Sie den vorhandenen Token bearbeiten möchten, wählen Sie die Schaltfläche „Edit configuration“ auf der rechten Seite aus. Anschließend können Sie die folgenden Informationen bearbeiten:
- Name der Konfiguration
- Region
- API-Token
- Klicken Sie anschließend auf die Schaltfläche „Save configuration“ und schließen Sie das Konfigurationsfenster.
- Wenn Sie alternativ eine neue Konfiguration hinzufügen möchten, klicken Sie auf die Schaltfläche „Add configuration“ anstelle von „Edit configuration“.
- Geben Sie den Namen der neuen Konfiguration ein, wählen Sie je nach Region des Datenspeichers Ihrer Organisation entweder „US“ oder „EU“ aus und geben Sie die neu generierte URL ein. Kopieren Sie außerdem den neu generierten API-Token, geben Sie ihn ein, klicken Sie auf die Schaltfläche „Save configuration“ und schließen Sie das Konfigurationsfenster.
- Wählen Sie dann die soeben erstellte Konfiguration aus dem Dropdown-Menü „Data source configuration“ aus und klicken Sie auf die Schaltfläche „Save changes“. Klicken Sie erneut auf die Schaltfläche „Save changes“, um Ihre Auswahl zu bestätigen.
- Wenn Sie die nicht mehr verwendete Konfiguration löschen möchten, klicken Sie auf die Schaltfläche „Delete configuration“ neben der Schaltfläche „Edit configuration“. Klicken Sie anschließend auf die Schaltfläche „Confirm deletion“, um Ihre Auswahl zu bestätigen und das Konfigurationsfenster zu schließen.
Weitere Tipps
- Pro CrowdStrike-Integration ist nur ein aktives Token erforderlich.