Introduction
Ce guide explique comment intégrer les journaux d’activité NordPass au SIEM nouvelle génération de CrowdStrike, et comment gérer et vérifier la connexion.
Avant de commencer
Pour intégrer les journaux d’activité NordPass dans CrowdStrike Next-Gen SIEM, vous devez :
- Disposer d’un abonnement NordPass Enterprise actif et du rôle de Propriétaire/Admin.
- Disposer d’un abonnement CrowdStrike : Falcon Next-Gen SIEM ou Falcon Next-Gen SIEM 10 Go.
- Disposer de clouds CrowdStrike disponibles dans les régions US-1, US-2, EU-1, US-GOV1 et US-GOV-2.
- Disposer d’un accès administrateur ou Connector Manager à la console Falcon pour le CID concerné.
Voici ce qu’il faut faire
Comment intégrer CrowdStrike
- Générez un jeton CrowdStrike dans le panneau d’administration NordPass.
- Connectez-vous à votre compte CrowdStrike.
- Dans la console Falcon, ouvrez le panneau latéral gauche, cliquez sur le bouton Connecteurs, situé dans le coin inférieur gauche, et choisissez l’option Connecteurs de données.
- Ensuite, cliquez sur le bouton + Ajouter une connexion, situé à droite.
- Sous le filtre Fournisseur, recherchez Nord Security, sélectionnez-le et cliquez sur le bouton Appliquer.
- Cliquez sur l’option Connecteur de données NordPass de Nord Security, puis sélectionnez l’option Configurer, située sur le côté droit.
- Ensuite, saisissez le nom de la connexion et appuyez sur le bouton Gérer.
- Confirmez votre décision en appuyant sur le bouton Accepter et continuer, puis sélectionnez le bouton Ajouter une configuration.
- Entrez le nom de la configuration, choisissez la région États-Unis ou Union européenne en fonction de la région de stockage des données de votre organisation, ainsi que l’URL générée à l’étape 1.
- Copiez le jeton API généré à l’étape 1, saisissez-le, cliquez sur le bouton Enregistrer la configuration et fermez la fenêtre de configuration.
- Ensuite, sélectionnez la configuration que vous venez de créer dans le menu déroulant Configuration de la source de données.
- Dans la section Analyse syntaxique et enrichissement, l’analyseur syntaxique par défaut pour la connexion est déjà sélectionné, et l’enrichissement de l’hôte est activé par défaut.
- Si vous devez activer un analyseur syntaxique personnalisé, cochez la case Activer la sélection de l’analyseur syntaxique, acceptez les conditions générales et sélectionnez l’analyseur syntaxique nécessaire.
- Si vous ne souhaitez pas enrichir les données tierces avec des entités de nom d’hôte, cliquez sur la case à cocher Activer l’enrichissement des hôtes pour désélectionner l’option.
- Lisez les conditions générales, cochez la case pour les accepter, puis cliquez sur le bouton Créer une connexion.
Une fois la configuration terminée, les données du Journal d’activité seront récupérées dans Microsoft Sentinel toutes les 5 secondes. Lors de la première connexion, les journaux d’activité de NordPass des 7 derniers jours seront extraits. Après cela, seuls les enregistrements générés au cours de l’intervalle défini pour le script seront récupérés.
Comment vérifier que l’ingestion des données a bien réussi
- Dans la console Falcon, ouvrez le panneau latéral gauche, cliquez sur le bouton Connecteurs, situé dans le coin inférieur gauche, et choisissez l’option Connecteurs de données.
- Dans la colonne Statut, vérifiez que le statut de la connexion de données est Active.
- Ensuite, cliquez sur le bouton à trois points, situé à droite de votre connexion, et sélectionnez le bouton Afficher les événements pour voir tous les événements liés à cette connexion de données dans Recherche avancée d’événements.
- Ensuite, confirmez qu’au moins une correspondance est générée entre le journal d’activité de CrowdStrike et celui de NordPass.
- Si vous souhaitez effectuer une recherche manuelle, utilisez cette requête dans Recherche avancée d’événements : #Vendor = nordsec | #event.module = "nordpass"
Remarque : l’activation du connecteur peut prendre jusqu’à 10 minutes après l’intégration initiale.
Comment mettre à jour le token sur le connecteur de données
- Après avoir généré un jeton CrowdStrike dans le panneau d’administration NordPass, connectez-vous à votre compte CrowdStrike.
- Dans la console Falcon, ouvrez le panneau latéral gauche, cliquez sur le bouton Connecteurs, situé dans le coin inférieur gauche, et choisissez l’option Connecteurs de données.
- Ensuite, cliquez sur le bouton à trois points, situé à droite de votre connexion, et sélectionnez le bouton Modifier la connexion.
- Dans la section Configuration de la source, cliquez sur le bouton Gérer et confirmez votre décision en appuyant sur le bouton Accepter et continuer.
- Si vous souhaitez modifier le token existant, sélectionnez le bouton Modifier la configuration, situé sur le côté droit, et vous pourrez modifier les informations suivantes :
- Nom de la configuration
- Zone géographique
- Jeton API
- Ensuite, cliquez sur le bouton Enregistrer la configuration et fermez la fenêtre de configuration.
- Sinon, si vous souhaitez ajouter une nouvelle configuration, cliquez sur le bouton Ajouter une configuration au lieu de Modifier la configuration.
- Entrez le nom de la nouvelle configuration, choisissez la région États-Unis ou Union européenne en fonction de la région du magasin de données de votre organisation, et l’URL nouvellement générée. De plus, copiez le jeton API nouvellement généré, saisissez-le, cliquez sur le bouton Enregistrer la configuration et fermez la fenêtre de configuration.
- Ensuite, sélectionnez la configuration que vous venez de créer dans le menu déroulant Configuration de la source de données, puis cliquez sur le bouton Enregistrer les modifications. Sélectionnez à nouveau le bouton Enregistrer les modifications pour confirmer votre choix.
- Si vous souhaitez supprimer la configuration qui n’est plus utilisée, cliquez sur le bouton Supprimer la configuration à côté du bouton Modifier la configuration. Ensuite, cliquez sur le bouton Confirmer la suppression pour vérifier votre choix et fermer la fenêtre de configuration.
Conseils supplémentaires
- Un seul jeton actif est nécessaire par intégration Splunk.