Bermigrasi dari CrowdStrike Detects API ke Alerts API

Bagian ini menjelaskan cara memigrasikan konfigurasi Anda untuk menggunakan Alerts API dan mencegah gangguan pada penyerapan data Anda.

Siapa yang terpengaruh?

Perubahan ini memengaruhi Anda jika Anda memenuhi kedua kondisi berikut:

  • Anda memiliki feed data aktif yang menggunakan konektor CrowdStrike Detection Cloud Monitoring API, yang dipetakan ke jenis log CS_DETECTS.
  • Klien API CrowdStrike yang Anda konfigurasi untuk feed ini tidak memiliki hak istimewa baca untuk pemberitahuan.

Untuk mencegah gangguan layanan, selesaikan salah satu prosedur berikut sebelum 30 September 2025.

Opsi 1: Perbarui izin untuk klien API CrowdStrike yang ada (Direkomendasikan)

Pendekatan ini hanya memerlukan perubahan konfigurasi di konsol CrowdStrike Falcon Anda dan memiliki dampak terendah pada aturan deteksi yang ada yang merujuk ke jenis log CS_DETECTS.

Sebelum memulai, identifikasi klien API menggunakan Detects API. CrowdStrike menyediakan dasbor untuk membantu Anda mengidentifikasi klien API yang menggunakan endpoint yang tidak digunakan lagi. Klien API yang digunakan oleh feed pemantauan deteksi Google SecOps memiliki string agen pengguna yang diawali dengan Google-Chronicle-Security.

Untuk menyiapkan dan menggunakan dasbor, lakukan langkah-langkah berikut:

  1. Buka artikel dukungan CrowdStrike dan download file YAML, berjudul, PlannedDecommissionofthedetectsAPI(September30,2025), yang dilampirkan di bagian bawah halaman.
  2. Di konsol Falcon, buka Next-Gen SIEM > Log management > Dashboards.
  3. Dari daftar Create dashboard, pilih Create new. Buat baru
  4. Klik Import dashboards.
  5. Impor file YAML yang Anda download. File YAML
  6. Di dasbor, buka tabel Panggilan ke endpoint API "/detects" yang tidak digunakan lagi. Tabel ini mencantumkan client ID dari semua klien API yang memanggil endpoint yang tidak digunakan lagi.
  7. Untuk setiap client ID API yang diidentifikasi pada langkah sebelumnya, berikan izin baca untuk pemberitahuan seperti yang ditunjukkan pada gambar. Izin baca
  8. Di konsol Falcon, buka tab klien API OAuth2. Anda mungkin perlu membuka beberapa halaman untuk menemukan client ID tertentu.
  9. Pilih klien API yang ingin Anda ubah, lalu klik Edit klien API.
  10. Di tabel pada formulir Edit klien API, centang kotak Read untuk pemberitahuan. Formulir Edit klien API
  11. Klik Update client details.

  12. Verifikasi perubahan untuk memastikan bahwa migrasi berhasil.

    • Pastikan feed CrowdStrike Anda di Google SecOps terus menerima data.
    • Periksa kembali dasbor di konsol Falcon setelah 30 menit. Dasbor tidak akan lagi mendaftarkan panggilan apa pun ke Detects API dari client ID yang diperbarui.

Opsi 2: Membuat dan menggunakan klien API CrowdStrike baru

Gunakan opsi ini jika Anda kesulitan mengidentifikasi client ID API yang ada. Konektor Google SecOps untuk jenis log CS_DETECTS secara otomatis mencoba menggunakan Alerts API terlebih dahulu. Jika izin yang diperlukan tidak ada, Detects API akan digunakan. Dengan membuat klien baru dengan izin yang benar, Anda dapat memastikan bahwa konektor menggunakan Alerts API modern.

  1. Di konsol CrowdStrike Falcon, buka bagian klien API OAuth2.
  2. Klik create API client.
  3. Di tabel pada formulir Create klien API, centang kotak Read untuk pemberitahuan.
  4. Dari formulir API client created, salin informasi di kolom Client ID, Secret, dan Base URL.
  5. Di Google SecOps, buka Settings > Pengelolaan Data > Feeds. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  6. Temukan feed CrowdStrike Detection Monitoring (CS_DETECTS) Anda, lalu klik Edit Feed.
  7. Ganti kredensial yang ada dengan client ID dan rahasia klien yang Anda salin dari konsol Falcon.
  8. Tinjau konfigurasi feed Anda, lalu klik Kirim.
  9. Ulangi langkah-langkah ini untuk setiap feed CS_DETECTS di semua instance Google SecOps Anda.

Memverifikasi perubahan

Setelah memperbarui feed, pastikan migrasi berhasil:

  • Pastikan feed CrowdStrike Anda di Google SecOps terus menerima data.
  • Periksa dasbor di konsol Falcon seperti yang dijelaskan dalam metode yang direkomendasikan. Dasbor tidak boleh lagi mendaftarkan panggilan apa pun ke API deteksi.

Untuk mengetahui detail selengkapnya, lihat pemberitahuan penghentian CrowdStrike resmi.

Penghentian penggunaan CrowdStrike Detections API dalam integrasi SOAR

Integrasi CrowdStrike Falcon SOAR menggunakan API Detections dalam tindakan dan konektornya. Penghentian API ini oleh CrowdStrike memengaruhi tindakan dan konektor berikut:

  • Menambahkan Komentar ke Deteksi
  • Deteksi Kedekatan
  • Deteksi Update
  • CrowdStrike - Detections Connector

Integrasi CrowdStrike SOAR sudah mendukung API Alerts, yang menggantikan API Detections. Untuk menggunakan Alerts API baru, Anda harus melakukan hal berikut:

  1. Instal CrowdStrike - Alerts Connector.
  2. Perbarui playbook untuk menggunakan tindakan Update Alert dan Add Alert Comment.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.