Von der CrowdStrike Detects API zur Alerts API migrieren

In diesem Abschnitt wird beschrieben, wie Sie Ihre Konfiguration migrieren, um die Alerts API zu verwenden und Unterbrechungen bei der Datenaufnahme zu vermeiden.

Wer ist betroffen?

Diese Änderung betrifft Sie, wenn beide der folgenden Bedingungen erfüllt sind:

  • Sie haben aktive Datenfeeds, die den CrowdStrike Detection Cloud Monitoring API-Connector verwenden, der dem Logtyp CS_DETECTS zugeordnet ist.
  • Der konfigurierte CrowdStrike API-Client für diesen Feed hat keine Leseberechtigungen für Benachrichtigungen.

Führen Sie vor dem 30. September 2025 eines der folgenden Verfahren aus, um Dienstunterbrechungen zu vermeiden.

Option 1: Berechtigungen für Ihren vorhandenen CrowdStrike API-Client aktualisieren (empfohlen)

Bei diesem Ansatz sind Konfigurationsänderungen nur in der CrowdStrike Falcon-Konsole erforderlich. Er hat die geringsten Auswirkungen auf vorhandene Erkennungsregeln, die auf den Logtyp CS_DETECTS verweisen.

Bevor Sie beginnen, identifizieren Sie API-Clients, die die Detects API verwenden. CrowdStrike bietet ein Dashboard, mit dem Sie API-Clients identifizieren können, die verworfene Endpunkte verwenden. API-Clients, die vom Google SecOps-Feed für die Erkennungsüberwachung verwendet werden, haben einen User-Agent-String, der mit Google-Chronicle-Security beginnt.

So richten Sie das Dashboard ein und verwenden es:

  1. Rufen Sie den CrowdStrike-Hilfeartikel auf und laden Sie die YAML-Datei mit dem Titel PlannedDecommissionofthedetectsAPI(September30,2025) herunter, die unten auf der Seite angehängt ist.
  2. Rufen Sie in der Falcon-Konsole Next-Gen SIEM > Log management > Dashboards auf.
  3. Wählen Sie in der Liste Dashboard erstellen die Option Neu erstellen aus. Neu erstellen
  4. Klicken Sie auf Dashboards importieren.
  5. Importieren Sie die heruntergeladene YAML-Datei. YAML-Datei
  6. Rufen Sie im Dashboard die Tabelle Aufrufe der verworfenen „/detects“-API-Endpunkte auf. In dieser Tabelle sind die Client-IDs aller API-Clients aufgeführt, die den verworfenen Endpunkt aufrufen.
  7. Gewähren Sie für jede im vorherigen Schritt identifizierte API-Client-ID die Leseberechtigung für Benachrichtigungen, wie in der Abbildung gezeigt. Leseberechtigungen
  8. Rufen Sie in der Falcon-Konsole den Tab OAuth2 API clients (OAuth2-API-Clients) auf. Möglicherweise müssen Sie mehrere Seiten durchgehen, um eine bestimmte Client-ID zu finden.
  9. Wählen Sie den API-Client aus, den Sie ändern möchten, und klicken Sie auf API-Client bearbeiten.
  10. Klicken Sie in der Tabelle im Formular API-Client bearbeiten das Kästchen Lesen für Benachrichtigungen an. Formular „API-Client bearbeiten“
  11. Klicken Sie auf Kundendetails aktualisieren.

  12. Prüfen Sie die Änderungen, um sicherzustellen, dass die Migration erfolgreich ist.

    • Prüfen Sie, ob Ihre CrowdStrike-Feeds in Google SecOps weiterhin Daten empfangen.
    • Prüfen Sie das Dashboard in der Falcon-Konsole nach 30 Minuten noch einmal. Im Dashboard sollten keine Aufrufe der Detects API von den aktualisierten Client-IDs mehr registriert werden.

Option 2: Neuen CrowdStrike API-Client erstellen und verwenden

Verwenden Sie diese Option, wenn Sie Probleme beim Identifizieren Ihrer vorhandenen API-Client-IDs haben. Der Google SecOps-Connector für den Logtyp CS_DETECTS versucht automatisch, zuerst die Alerts API zu verwenden. Wenn die erforderlichen Berechtigungen fehlen, wird die Detects API verwendet. Wenn Sie einen neuen Client mit den richtigen Berechtigungen erstellen, können Sie dafür sorgen, dass der Connector die moderne Alerts API verwendet.

  1. Rufen Sie in der CrowdStrike Falcon-Konsole den Bereich OAuth2 API clients (OAuth2-API-Clients) auf.
  2. Klicken Sie auf API-Client erstellen.
  3. Wählen Sie in der Tabelle im Formular API-Client erstellen das Kästchen Lesen für Benachrichtigungen aus.
  4. Kopieren Sie im Formular API-Client erstellt die Informationen in den Feldern Client-ID, Secret und Basis-URL.
  5. Gehen Sie in Google SecOps zu Einstellungen > Datenverwaltung > Feeds. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  6. Suchen Sie den Feed „CrowdStrike Detection Monitoring“ (CS_DETECTS) und klicken Sie auf Feed bearbeiten.
  7. Ersetzen Sie die vorhandenen Anmeldedaten durch die Client-ID und den Clientschlüssel, die Sie aus der Falcon-Konsole kopiert haben.
  8. Prüfen Sie die Feedkonfiguration und klicken Sie auf Senden.
  9. Wiederholen Sie diese Schritte für jeden CS_DETECTS-Feed in allen Ihren Google SecOps-Instanzen.

Änderungen prüfen

Prüfen Sie nach dem Aktualisieren des Feeds, ob die Migration erfolgreich war:

  • Prüfen Sie, ob Ihr CrowdStrike-Feed in Google SecOps weiterhin Daten empfängt.
  • Prüfen Sie das Dashboard in der Falcon-Konsole, wie in der empfohlenen Methode beschrieben. Im Dashboard sollten keine Aufrufe der Detects API mehr registriert werden.

Weitere Informationen finden Sie in der offiziellen CrowdStrike-Mitteilung zur Einstellung des Dienstes.

Einstellung der CrowdStrike Detections API in der SOAR-Integration

Die CrowdStrike Falcon SOAR-Integration verwendet die Detections API in ihren Aktionen und Connectors. Die Einstellung dieser API durch CrowdStrike wirkt sich auf die folgenden Aktionen und Connectors aus:

  • Kommentar zu Erkennung hinzufügen
  • Erkennung schließen
  • Update-Erkennung
  • CrowdStrike – Connector für Erkennungen

Die SOAR-CrowdStrike-Integration unterstützt bereits die Alerts API, die die Detections API ersetzt. Wenn Sie die neue Alerts API verwenden möchten, müssen Sie Folgendes tun:

  1. Installieren Sie den CrowdStrike – Alerts Connector.
  2. Aktualisieren Sie Playbooks, um die Aktionen Benachrichtigung aktualisieren und Benachrichtigungskommentar hinzufügen zu verwenden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten