Erste Schritte mit der CrowdStrike Falcon Insight -Integration

Sie können CrowdStrike Falcon Insight aktivieren und so einrichten, dass er mit Ihrer Now Platform -Instanz und Ihrem [ Security Incident Response -Produkt verbunden ist.

Vorbereitungen

Erforderliche Rolle: admin

Bevor Sie CrowdStrike Falcon Insight für die Security Operations -Integration verwenden können, müssen Sie sie aus dem ServiceNow Storeherunterladen.

Warum und wann dieser Vorgang ausgeführt wird

Tabelle : 1. Prüfliste

Setupaufgabe	Beschreibung
Weisen Sie die erforderlichen Rollen Now Platform und Security Incident Response zu, und überprüfen Sie sie.	Diese Rollen sind für die Konfiguration und Überprüfung der erwarteten Ergebnisse erforderlich: Die Administratorrolle installiert die Integration aus dem ServiceNow Store und weist die Rolle sn_si.admin zu. Die Rolle „sn_si.admin“ konfiguriert die Integration, erstellt und aktiviert Profile und weist dann die Rolle „sn_si.analyst“ zu. Die Rolle „sn_si.analyst“ reagiert auf Security Incidents, startet Profile manuell und kann Anforderungen für Aktionen wie das Isolieren des Hosts und das Entfernen der Hostisolierung für eine genehmigte Gruppe senden.
Stellen Sie sicher, dass die Kernanwendungen ServiceNow, die zur Unterstützung der Integration erforderlich sind, installiert und aktiviert sind, bevor Sie diese Integration konfigurieren.	Das Plugin ServiceNow IntegrationHub Enterprise Pack Installer [com.glide.hub.integrations.enterprise] ist erforderlich. Dieses Plugin ermöglicht die Ausführung von IntegrationHub-Aktionen und -Flows: Das Plugin Security Incident Response (com.snc.security_incident) ist erforderlich. Dieses Plugin installiert automatisch alle Abhängigkeiten, die zur Unterstützung des Produkts Security Incident Response erforderlich sind. Installieren und aktivieren Sie dieses Plugin, bevor Sie die anderen Security Operations -Anwendungen installieren und aktivieren, die für die Integration erforderlich sind. Vergewissern Sie sich, dass die folgenden Security Operations -Anwendungen über ServiceNow Store] installiert und aktiviert wurden. Wenn diese Anwendungen noch nicht installiert sind, müssen Sie jede Anwendung einzeln in der folgenden Reihenfolge installieren und aktivieren, um eine reibungslose Installation zu gewährleisten: Security Incident Response Abhängigkeit (com.snc.si_dep) Security Integration Framework Security Support Common Security Support Orchestration Threat Intelligence Support Common Trusted Security Circles Security Operations Setup-Assistent Security Incident Response
Richten Sie eine Genehmigungsgruppe ein.	Eine optionale Genehmigungsfunktion ist verfügbar, um Hostcomputer zu isolieren, im Netzwerk wiederherzustellen und Sichtungssuchen zu initiieren. Um diese Option zu aktivieren, benötigen Sie die vorherige Genehmigung durch die Rolle „sn_si.admin“, bevor Hostcomputer isoliert und in Ihrem Netzwerk wiederhergestellt werden oder wenn Sichtungssuchen durchgeführt werden. Wenn Sie eine zusätzliche Steuerungsebene für diese Aktionen benötigen, aktivieren Sie beim Konfigurieren des Profils die Option Genehmigung erforderlich. Die Genehmigungsberechtigung wird dem Benutzer mit der Rolle sn_si.admin zugewiesen. Sie können diese Genehmigungsberechtigung auch einer Genehmigungsgruppe neu zuweisen.
Weisen Sie die CrowdStrike Falcon Platform-Rollen zu, und überprüfen Sie sie.	Die folgenden Rollen sind auf der CrowdStrike Falcon-Plattform für die Integrationskonfiguration erforderlich: Die Falcon-Administratorrolle ist erforderlich, um API-Clients oder -Schlüssel anzuzeigen, zu erstellen oder zu ändern. Die Rolle „Real Time Responder – Administrator“ ist zum Erstellen und Ausführen von benutzerdefinierten Skripts erforderlich. Die Rolle „Real Time Responder – Active Responder“ ist zum Erstellen und Ausführen von benutzerdefinierten Skripts erforderlich.
Stellen Sie sicher, dass die benutzerdefinierten Skriptrollen und -berechtigungen in CrowdStrike Falcon Platform aktiviert sind.	Diese Integration verwendet die benutzerdefinierten Skripts von CrowdStrike für einige der Ergänzungsfunktionen. Stellen Sie sicher, dass die Rollen „Real Time Responder – Administrator“ und „Real Time Responder – Active Responder“ verfügbar sind. Vergewissern Sie sich, dass die Richtlinienoption Standard (Windows) unter Konfiguration > Antwortrichtlinien in der CrowdStrike Falcon-UI aktiviert ist. Stellen Sie sicher, dass Echtzeitantwort und benutzerdefinierte Skripts unter Echtzeitfunktionalität in der CrowdStrike Falcon-UI aktiviert sind.
Generieren von API-Clients und -Schlüsseln in der CrowdStrike Falcon-Plattform.	Erstellen Sie die CrowdStrike-API-Clients oder -Schlüssel in der CrowdStrike Falcon-Plattform, die in der Now Platform -Integrationskonfiguration verwendet werden sollen.