מעבר מ-CrowdStrike Detects API ל-Alerts API

בקטע הזה מוסבר איך להעביר את ההגדרות לשימוש ב-Alerts API כדי למנוע שיבושים בהטמעת הנתונים.

על מי זה משפיע?

השינוי הזה משפיע עליכם אם אתם עומדים בשני התנאים הבאים:

  • יש לכם פידים פעילים של נתונים שמשתמשים במחבר CrowdStrike Detection Cloud Monitoring API, שממופה לסוג היומן CS_DETECTS.
  • ללקוח ה-API של CrowdStrike שהגדרתם לפיד הזה אין הרשאות קריאה להתראות.

כדי למנוע שיבושים בשירות, צריך לבצע את אחד מהתהליכים הבאים לפני 30 בספטמבר 2025.

אפשרות 1: עדכון ההרשאות של לקוח ה-API הקיים של CrowdStrike (מומלץ)

בגישה הזו צריך לשנות את ההגדרות רק במסוף CrowdStrike Falcon, והיא משפיעה הכי פחות על כללי הזיהוי הקיימים שמתייחסים לסוג היומן CS_DETECTS.

לפני שמתחילים, צריך לזהות את לקוחות ה-API באמצעות Detects API. ב-CrowdStrike יש לוח בקרה שעוזר לזהות לקוחות API שמשתמשים בנקודות קצה (endpoints) שהוצאו משימוש. ללקוחות API שמשמשים את פיד המעקב אחרי גילויים של Google SecOps יש מחרוזת סוכן משתמש שמתחילה ב-Google-Chronicle-Security.

כדי להגדיר את לוח הבקרה ולהשתמש בו:

  1. עוברים למאמר התמיכה של CrowdStrike ומורידים את קובץ ה-YAML שנקרא PlannedDecommissionofthedetectsAPI(September30,2025), שמצורף בתחתית הדף.
  2. במסוף Falcon, עוברים אל SIEM מהדור הבא ‏> ניהול יומנים ‏> מרכזי בקרה.
  3. ברשימה Create dashboard, בוחרים באפשרות Create new. יצירת משאב חדש
  4. לוחצים על ייבוא מרכזי בקרה.
  5. מייבאים את קובץ ה-YAML שהורדתם. קובץ YAML
  6. בלוח הבקרה, עוברים לטבלה Calls to the deprecated "/detects" API endpoints. בטבלה הזו מפורטים מזהי הלקוח של כל לקוחות ה-API שקוראים לנקודת הקצה שהוצאה משימוש.
  7. לכל מזהה לקוח API שזוהה בשלב הקודם, מעניקים הרשאת קריאה להתראות, כמו שמוצג בתמונה. הרשאות קריאה
  8. במסוף Falcon, עוברים לכרטיסייה לקוחות API של OAuth2. יכול להיות שתצטרכו לעבור בין כמה דפים כדי למצוא מזהה לקוח ספציפי.
  9. בוחרים את לקוח ה-API שרוצים לשנות ולוחצים על עריכת לקוח ה-API.
  10. בטבלה שבטופס Edit API client (עריכת לקוח API), מסמנים את התיבה Read (קריאה) לצד ההתראות. טופס עריכה של לקוח API
  11. לוחצים על עדכון פרטי הלקוח.

  12. בודקים את השינויים כדי לוודא שההעברה בוצעה בהצלחה.

    • מוודאים שהפידים של CrowdStrike ב-Google SecOps ממשיכים לקבל נתונים.
    • אחרי 30 דקות, בודקים שוב את מרכז הבקרה במסוף Falcon. בלוח הבקרה לא אמורות להופיע יותר קריאות ל-Detects API ממזהי הלקוחות המעודכנים.

אפשרות 2: יצירה ושימוש בלקוח API חדש של CrowdStrike

השתמשו באפשרות הזו אם אתם מתקשים לזהות את מזהי הלקוחות הקיימים של ה-API. המחבר של Google SecOps לסוג היומן CS_DETECTS מנסה קודם להשתמש ב-Alerts API באופן אוטומטי. אם ההרשאות הנדרשות חסרות, הוא משתמש ב-Detects API. כדי לוודא שהמחבר משתמש ב-Alerts API המודרני, אתם יכולים ליצור לקוח חדש עם ההרשאות הנכונות.

  1. במסוף CrowdStrike Falcon, עוברים לקטע לקוחות API של OAuth2.
  2. לוחצים על יצירת לקוח API.
  3. בטבלה שבטופס Create API client, מסמנים את התיבה Read להתראות.
  4. בטופס API client created, מעתיקים את המידע מהשדות Client ID,‏ Secret ו-Base URL.
  5. ב-Google SecOps, עוברים אל Settings > ניהול נתונים > Feeds. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  6. מאתרים את הפיד של CrowdStrike Detection Monitoring (CS_DETECTS) ולוחצים על Edit Feed.
  7. מחליפים את פרטי הכניסה הקיימים במזהה הלקוח ובסוד הלקוח שהעתקתם ממסוף Falcon.
  8. בודקים את הגדרות הפיד ולוחצים על שליחה.
  9. חוזרים על השלבים האלה לכל פיד של CS_DETECTS בכל המופעים של Google SecOps.

אימות השינויים

אחרי שמעדכנים את הפיד, צריך לוודא שההעברה בוצעה בהצלחה:

  • מוודאים שהפיד של CrowdStrike ב-Google SecOps ממשיך לקבל נתונים.
  • בודקים את מרכז הבקרה במסוף Falcon, כמו שמתואר בשיטה המומלצת. בלוח הבקרה לא אמורות להופיע יותר קריאות ל-detects API.

פרטים נוספים זמינים בהודעה הרשמית של CrowdStrike על הוצאה משימוש.

הוצאה משימוש של CrowdStrike Detections API בשילוב עם SOAR

השילוב של CrowdStrike Falcon SOAR השתמש ב-API של Detections בפעולות ובמחברים שלו. ההוצאה משימוש של ה-API הזה על ידי CrowdStrike משפיעה על הפעולות והמחברים הבאים:

  • הוספת הערה לזיהוי
  • זיהוי קרבה
  • עדכון הזיהוי
  • CrowdStrike – מחבר זיהויים

השילוב של SOAR CrowdStrike כבר תומך ב-API של Alerts, שמחליף את ה-API של Detections. כדי להשתמש ב-API החדש של התראות, צריך לבצע את הפעולות הבאות:

  1. מתקינים את CrowdStrike - Alerts Connector.
  2. מעדכנים את הפלייבוקים כך שישתמשו בפעולות Update Alert ו-Add Alert Comment.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.