从 CrowdStrike Detects API 迁移到 Alerts API
本部分介绍了如何迁移配置以使用 Alerts API，并防止数据注入中断。
受影响的对象
如果您同时满足以下两个条件，则会受到此项变更的影响：
- 您有使用 CrowdStrike Detection Cloud Monitoring API 连接器的活跃数据 Feed，该连接器会映射到
CS_DETECTS日志类型。 - 您为此 Feed 配置的 CrowdStrike API 客户端没有提醒的读取权限。
为避免服务中断，请在 2025 年 9 月 30 日之前完成以下任一流程。
选项 1：更新现有 CrowdStrike API 客户端的权限（推荐）
此方法仅需在 CrowdStrike Falcon 控制台中更改配置，对引用 CS_DETECTS 日志类型的现有检测规则影响最小。
在开始之前，请使用 Detects API 识别 API 客户端。CrowdStrike 提供了一个信息中心，可帮助您识别使用已弃用端点的 API 客户端。Google SecOps 检测监控 Feed 使用的 API 客户端具有以 Google-Chronicle-Security 开头的用户代理字符串。
如需设置和使用信息中心，请执行以下步骤：
- 前往 CrowdStrike 支持文章，下载页面底部名为计划停用检测 API（2025 年 9 月 30 日）的 YAML 文件。
- 在 Falcon 控制台中，依次前往新一代 SIEM > 日志管理 > 信息中心。
- 从创建信息中心列表中，选择新建。
- 点击导入信息中心。
- 导入您下载的 YAML 文件。
- 在信息中心内，找到对已弃用的“/detects”API 端点的调用表格。此表列出了调用已弃用端点的所有 API 客户端的客户端 ID。
- 对于上一步中确定的每个 API 客户端 ID，请授予提醒的读取权限，如图所示。
- 在 Falcon 控制台中，前往 OAuth2 API 客户端标签页。您可能需要浏览多个页面才能找到特定的客户端 ID。
- 选择要修改的 API 客户端，然后点击修改 API 客户端。
- 在修改 API 客户端表单的表格中，选中“提醒”对应的读取复选框。
- 点击更新客户详细信息。
验证更改，确保迁移成功。
- 确认 Google SecOps 中的 CrowdStrike Feed 继续接收数据。
- 30 分钟后，再次查看 Falcon 控制台中的信息中心。信息中心不应再注册来自更新后的客户端 ID 的任何 Detects API 调用。
方法 2：创建并使用新的 CrowdStrike API 客户端
如果您无法确定现有的 API 客户端 ID，请使用此选项。
CS_DETECTS 日志类型的 Google SecOps 连接器会自动尝试先使用 Alerts API。如果缺少所需权限，则会使用 Detects API。通过创建具有正确权限的新客户端，您可以确保连接器使用现代 Alerts API。
- 在 CrowdStrike Falcon 控制台中，前往 OAuth2 API 客户端部分。
- 点击创建 API 客户端。
- 在创建 API 客户端表单中的表格内，选中提醒对应的读取复选框。
- 从已创建 API 客户端表单中，复制客户端 ID、密钥和基准网址字段中的信息。
- 在 Google SecOps 中，依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
- 找到您的 CrowdStrike 检测监控 (
CS_DETECTS) Feed，然后点击修改 Feed。 - 将现有凭证替换为您从 Falcon 控制台复制的客户端 ID 和客户端密钥。
- 检查您的 Feed 配置，然后点击提交。
- 对所有 Google SecOps 实例中的每个
CS_DETECTSFeed 重复执行这些步骤。
验证更改
更新 Feed 后，请验证迁移是否成功：
- 确认 Google SecOps 中的 CrowdStrike Feed 仍在接收数据。
- 按照推荐的方法，在 Falcon 控制台中查看信息中心。 信息中心不应再记录对 Detects API 的任何调用。
如需了解详情，请参阅官方 CrowdStrike 停用通知。
SOAR 集成中的 CrowdStrike Detections API 弃用
CrowdStrike Falcon SOAR 集成在其操作和连接器中使用了 Detections API。CrowdStrike 弃用此 API 会影响以下操作和连接器：
- 为检测结果添加评论
- 关闭检测
- 更新检测
- CrowdStrike - Detections Connector
SOAR CrowdStrike 集成已支持 Alerts API，该 API 取代了 Detections API。如需使用新的 Alerts API，您必须执行以下操作：
- 安装 CrowdStrike - Alerts Connector。
- 更新 playbook，以使用更新提醒和添加提醒评论操作。