Mise en route de l’intégration CrowdStrike Falcon Insight

Vous pouvez activer et configurer l’interface CrowdStrike Falcon Insight avec votre instance et Réponse aux incidents de sécurité votre Now Platform produit.

Avant de commencer

Rôle requis : admin

Avant de pouvoir l’utiliser CrowdStrike Falcon Insight pour l’intégration Opérations de sécurité , vous devez la télécharger à partir du ServiceNow Store.

Pourquoi et quand exécuter cette tâche

Tableau 1. Liste de vérification

Tâche de configuration	Description
Affectez et vérifiez les rôles et Réponse aux incidents de sécurité requisNow Platform.	Ces rôles sont requis pour la configuration et la vérification des résultats attendus : Le rôle administrateur installe l’intégration à partir de et ServiceNow Store attribue le rôle sn_si.admin. Le rôle sn_si.admin configure l’intégration, crée et active les profils, puis affecte le rôle sn_si.analyst. Le rôle sn_si.analyst répond aux incidents de sécurité, lance manuellement des profils et peut soumettre des demandes d’actions telles que l’isolement de l’hôte et la suppression de l’isolement de l’hôte pour un groupe approuvé.
Vérifiez que les ServiceNow applications principales requises pour prendre en charge l’intégration sont installées et activées avant de configurer cette intégration.	Le ServiceNow Hub d'intégration module d’extension Enterprise Pack Installer [com.glide.hub.integrations.enterprise] est requis. Ce module d’extension permet l’exécution des actions et des flux du Centre d’intégration : Le Réponse aux incidents de sécurité module d’extension (com.snc.security_incident) est requis. Ce module d’extension installe automatiquement toutes les dépendances requises pour prendre en charge le Réponse aux incidents de sécurité produit. Installez et activez ce module d’extension avant d’installer et d’activer les autres Opérations de sécurité applications requises par l’intégration. Vérifiez que les applications suivantes Opérations de sécurité sont installées et activées à partir du ServiceNow Store. Si ces applications ne sont pas déjà installées, vous devez installer et activer chaque application une par une dans l’ordre suivant pour assurer une installation fluide : Réponse aux incidents de sécurité Dépendance (com.snc.si_dep) Cadre de travail d’intégration de sécurité Security Support Common Orchestration du support de sécurité Renseignements sur les menaces Prise en charge commune Trusted Security Circles Opérations de sécurité Assistant de configuration Réponse aux incidents de sécurité
Configurez un groupe d’approbation.	Une aptitude d’approbation facultative est disponible pour isoler les machines hôtes, les restaurer dans le réseau et initier des recherches de perceptions. Pour activer cette option, vous devez obtenir l’approbation préalable du rôle sn_si.admin avant que les ordinateurs hôtes ne soient isolés et restaurés sur votre réseau, ou lorsque des recherches de perceptions sont effectuées. Si vous avez besoin d’un niveau de contrôle supplémentaire sur ces actions, activez l’option Exiger l’approbation lors de la configuration du profil. L’autorisation d’approbation est affectée à l’utilisateur disposant du rôle sn_si.admin. Vous pouvez également réaffecter cette autorisation d’approbation à un groupe d’approbation.
Affectez et vérifiez les rôles de la plateforme CrowdStrike Falcon.	Les rôles suivants sont requis sur CrowdStrike Falcon Platform pour la configuration de l’intégration : Le rôle administrateur Falcon est requis pour afficher, créer ou modifier les clients ou les clés de l’API. Le rôle Intervenant en temps réel : administrateur est requis pour créer et exécuter des scripts personnalisés. Le rôle Répondant en temps réel : intervenant actif est requis pour créer et exécuter des scripts personnalisés.
Vérifiez que les scripts, rôles et autorisations personnalisés sont activés dans CrowdStrike Falcon Platform.	Cette intégration utilise les scripts personnalisés de CrowdStrike pour certaines des fonctionnalités d’enrichissement. Vérifiez que les rôles Intervenant en temps réel – Administrateur et Intervenant en temps réel – Intervenant actif sont disponibles. Vérifiez que l’option de politique par défaut (Windows) est activée dans Politiques de configuration > de réponse de l’interface utilisateur CrowdStrike Falcon. Vérifiez que les options Réponse en temps réel et Scripts personnalisés sous la fonctionnalité en temps réel sont activées dans l’interface utilisateur CrowdStrike Falcon.
Générer des clients et des clés d’API dans CrowdStrike Falcon Platform.	Créez les clients ou les clés de l’API CrowdStrike dans la plateforme CrowdStrike Falcon Platform à utiliser dans la configuration de l’intégration Now Platform .