Erstellen und konfigurieren Sie ein Profil für die Sichtungssuche

Sichtungssuchen für verwenden CrowdStrike Falcon Insight Um infizierte Computer im Netzwerk Ihrer Organisation zu lokalisieren und Security Incident Response-Fälle zu behandeln.

Vorbereitungen

Erforderliche Rolle: sn_si.Analyst

Warum und wann dieser Vorgang ausgeführt wird

Wählen Sie einzelne oder mehrere erkennbare Elemente aus, und führen Sie eine manuelle Sichtungssuche in durch CrowdStrike Falcon Insight Dient zur Bestimmung der Verbreitung einer Bedrohung im Zeitverlauf.

Prozedur

1. Navigieren zu Alle > CrowdStrike Falcon Insight-Integration > Sichtungssuchprofilean.
2. Klicken Sie auf Neu.
3. Konfigurieren Sie dieses Profil, um zu bestimmen, welche Server nach einer bestimmten CrowdStrike Falcon Insight-Suchfunktion gesucht werden sollen.
4. Füllen Sie im Formular die folgenden Felder aus:

   Feld	Beschreibung
   Name	Name für das Sichtungssuchprofil.
   Ist gespeicherte Suche	Wenn Sie diese Option auswählen, wird eine gespeicherte Suchkonfiguration erstellt.
   Sichtungssuchquelle	Die Quelle für die Sichtungssuche. Wählen Sie aus CrowdStrike Falcon Insight-Sichtungssuche Als Quelle.
   Aktiv	Option, um anzugeben, ob zusätzliche aktiv ist oder nicht.
   Typ des erkennbaren Elements	Die CrowdStrike Falcon Insight-Integration unterstützt die folgenden Typen erkennbarer Elemente: Hash IP URL Die Sichtungssuche wird für die folgenden erkennbaren Elemente unterstützt: Domänenname IP-Adresse (v4) IP-Adresse (V6) MD5-Hash SHA1-Hash SHA256-Hash
   Maximale erkennbare Elemente pro Suche	Maximale Anzahl erkennbarer Elemente, die Sie in einer Suchabfrage anzeigen können.
   Suchen	Die Standardsuchzeichenfolge ist $(erkennbares Element) , Sie können jedoch Ihre eigene Suchabfrage definieren, indem Sie Parameter angeben, die von unterstützt werden CrowdStrike Falcon Insight Integration.
   Sichtungssuchparameter	Parameter zum Definieren komplexerer Abfragen, die Logik und andere Operatoren enthalten, die vom angegebenen Protokollspeicher unterstützt werden Sie können die zugehörigen Links unten auf der Seite verwenden, um eine Testabfrage zu generieren, nachdem Sie Sichtungssuchparameter definiert haben.

   

5. Klicken Sie auf Absenden.
   Die Konfiguration ist abgeschlossen, und Sie können die Sichtungssuche über aufrufen ServiceNow AI Platform Security Incident.
6. Führen Sie die folgenden Schritte aus, um die Konfiguration zu überprüfen und eine Sichtungssuche auszuführen:
   1. Öffnen Sie einen Security Incident, scrollen Sie zum Ende des Security Incident, und klicken Sie auf Alle zugehörigen Listen anzeigen .
   2. Wenn Sie ein oder mehrere Konfigurationselemente (Configuration Items, CI) aus auswählen Laufende Prozesse Zugehörige Listen.
      Hinweis:

      Wenn Sie eine Sichtungssuche nach einem CI aus der zugehörigen Liste laufende Prozesse ausführen, ist es nur eine Prozess-Hash-Sichtungssuche.
   3. Klicken Sie auf Aktionen für ausgewählte Zeilen... Dropdown-Liste, und wählen Sie aus Führen Sie die CrowdStrike-Sichtungssuche aus .
   4. Suchen Sie mithilfe der Suchoption nach dem erforderlichen Sichtungssuchprofil.
   5. Wählen Sie das erforderliche Sichtungssuchprofil aus, und klicken Sie auf Übermitteln .
   6. Wenn Sie ein oder mehrere erkennbare Elemente aus auswählen Zugeordnete Erkennbare Elemente Zugehörige Listen.
   7. Klicken Sie auf Aktionen für ausgewählte Zeilen... Dropdown-Liste, und wählen Sie aus Sichtungssuche Ausführen .
   8. Wählen Sie im Popup-Fenster „Zeitrahmen“ einen beliebigen zufälligen Wert aus, und klicken Sie auf Suchen .
   9. Validieren Sie nach Abschluss der Suche die Ergebnisse und Details in den Arbeitsnotizen und zugehörigen Listen.
      
   10. Wählen Sie aus Sichtungen Registerkarte zum Anzeigen der Sichtungsdetails.
   11. Klicken Sie auf Vorschau Symbol neben dem CI, um weitere Informationen zu CrowdStrike-Sichtungsdetails anzuzeigen.
   12. Klicken Sie auf Sichtungssuchdetails Um die Sichtungssuchdetails anzuzeigen, klicken Sie auf Sichtungssuchergebnisse  Registerkarte für Suchergebnisse.