QRadar と通信するための CrowdStrike Falcon の構成

CrowdStrike Falcon から IBM QRadarに LEEF イベントを送信するには、Falcon SIEM Connector をインストールして構成する必要があります。
ヒント: CrowdStrike イベント・データを取得するために、 IBM Security App Exchangeから CrowdStrike アプリケーション拡張機能を使用することもできます。 詳しくは、 How to Use CrowdStrike with IBM' s QRadar (https://www.crowdstrike.com/blog/tech-center/crowdstrike-qradar/) を参照してください。

始める前に

API 資格情報を生成するには、Falcon の管理者特権が必要です。

手順

  1. Falcon SIEM Connector を構成するために、クライアント ID、クライアント・シークレット・キー、およびベース URL を取得します。
    1. CrowdStrike Falcon にログインします。
    2. 「Falcon」メニューの 「サポート」 ペインで、 「API クライアントおよび KeysSelect」をクリックします。
    3. 「新規 API クライアントの追加」をクリックします。
    4. 「API SCOPES」 ペインで、 「イベント・ストリーム」 を選択して、 「読み取り」 オプションを有効にします。
    5. 変更を保存するには、 「追加」をクリックします。
    6. クライアントID 、クライアントシークレット、 URL の値を記録します。
  2. Falcon SIEM Connector をインストールします。 管理者 (root) 特権が必要です。
    注: SIEM Connector は、以下のいずれかのオペレーティング・システムを持つシステムにオンプレミスでデプロイする必要があります。
    • CentOS/RHEL 6.x から 7.x (64 ビット)
    • Ubuntu 14.x (64 ビット)
    • Ubuntu 16.04 (64 ビット)
    • Ubuntu 18.04 (64 ビット)
    1. ご使用のオペレーティング・システムに応じた RPM インストーラー・パッケージを Linux サーバーにダウンロードします。
    2. パッケージをインストールするために、以下のいずれかのコマンドを入力します。
      • CentOS オペレーティング・システムを使用している場合は、 sudo rpm -Uvh <installer package> コマンドを入力します。
      • Ubuntu オペレーティング・システムを使用している場合は、 sudo dpkg -i <installer package> コマンドを入力します。

    Falcon SIEM Connector は、デフォルトで /opt/crowdstrike/ ディレクトリーにインストールされます。

    サービスは、/etc/init.d/cs.falconhoseclientd/ ディレクトリーに作成されます。

  3. LEEF イベントを QRadarに転送するように SIEM Connector を構成します。
    構成ファイルは /opt/crowdstrike/etc/ ディレクトリーにあります。
    • LEEF 構成設定用に、cs.falconhoseclient.leef.cfg を cs.falconhoseclient.cfg に名前変更します。 SIEM Connector は、デフォルトで cs.falconhoseclient.cfg 構成を使用します。

    以下の表では、LEEF イベントを QRadarに転送するためのキー・パラメーター値の一部について説明します。

    表 1. キー・パラメーター値
    キー 説明 値
    バージョン 使用する認証のバージョン。 個の場合、API 鍵認証のバージョンです。 2
    api_url SIEM Connector は、このエンドポイント URL に接続します。
    クラウドに応じて、以下のいずれかの値を指定します。
    • https://api.crowdstrike.com/sensors/entities/datafeed/v2(US-1)
    • https://api.us-2.crowdstrike.com/sensors/entities/datafeed/v2 (US-2)
    • https://api.eu-1.crowdstrike.com/sensors/entities/datafeed/v2 (EU-1)
    • https://api.laggar.gcw.crowdstrike.com/sensors/entities/datafeed/v2 (US-GOV-1)
    app_id Falcon Streaming API に接続するための任意のストリング ID。 任意のストリング。 例えば、FHAPI-LEEF
    client_id クライアント検証で資格情報として client_id 値が使用されます。 ステップ 1 で取得済み
    client_secret クライアント検証で資格情報として client_secret 値が使用されます。 ステップ 1 で取得済み
    send_to_syslog_ server Syslog サーバーへの Syslog プッシュを有効または無効にするには、このフラグを true または false に設定します。 はい
    host SIEM の IP またはホスト名。 コネクターが LEEF イベントを転送する QRadar SIEM の IP またはホスト名。
    header_delim ヘッダー接頭部とフィールドが、この値で区切られます。 値としてパイプ (|) を指定する必要があります。
    field_delim キー値ペアを分離するために使用される区切り文字の値。 値はタブ (&#xa5;t) でなければなりません。
    time_fields この日時フィールドの値は、指定された時刻形式に変換されます。 デフォルト・フィールドは、devTime (デバイス時刻) です。 デバイス時刻の設定にカスタム LEEF キーが使用される場合は、別のフィールド名を使用してください。
  4. SIEM Connector サービスを開始するには、以下のいずれかのコマンドを入力します。
    • CentOS オペレーティング・システムを使用している場合は、 sudo service cs.falconhoseclientd start コマンドを入力します。
    • Ubunto 14.x オペレーティング・システムを使用する場合は、sudo start cs.falconhoseclientd コマンドを入力します。
    • Ubuntu 16.04 以降のオペレーティング・システムを使用する場合は、sudo systemctl start cs.falconhoseclientd.service コマンドを入力します。
  5. オプション: SIEM Connector サービスを停止する場合は、以下のいずれかのコマンドを入力します。
    • CentOS オペレーティング・システムを使用している場合は、 sudo service cs.falconhoseclientd stop コマンドを入力します。
    • Ubunto 14.x オペレーティング・システムを使用する場合は、sudo stop cs.falconhoseclientd コマンドを入力します。
    • Ubuntu 16.04 以降のオペレーティング・システムを使用する場合は、sudo systemctl stop cs.falconhoseclientd.service コマンドを入力します。
  6. オプション: SIEM Connector サービスを再開する場合は、以下のいずれかのコマンドを入力します。
    • CentOS オペレーティング・システムを使用している場合は、 sudo service cs.falconhoseclientd restart コマンドを入力します。
    • Ubunto 14.x オペレーティング・システムを使用する場合は、sudo restart cs.falconhoseclientd コマンドを入力します。
    • Ubuntu 16.04 以降のオペレーティング・システムを使用する場合は、sudo systemctl restart cs.falconhoseclientd.service コマンドを入力します。

次に実行するタスク

QRadarで Syslog ログ・ソースを追加します。 詳しくは、 CrowdStrike Falcon の Syslog ログ・ソース・パラメーターを参照してください。