CrowdStrike Falcon イベント ストリーム

備考

プレビュー

Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

Lakewatchは、CrowdStrike Falconイベントストリームからデータを取り込むためのAPIコネクタを提供します。この記事では、前提条件、構成手順、コネクタスキーマ、およびLakewatchパーサーの観測可能な要素について説明します。

前提条件

コネクターに必要なもの：

1. Serverless Lakeflow Spark Declarative Pipelinesがワークスペースで有効になっています。
2. Unity Catalogと、Unity Catalog接続を作成または使用するための権限。接続のパーミッションを参照してください。
3. OAuth2 APIクライアントを作成できるFalcon管理者。CrowdStrikeのEvent ストリーム APIドキュメントを参照してください。
4. イベントストリーム スコープおよび 読み取り 権限（event_streamsの読み取り）を持つAPIクライアント。コネクタは GET /sensors/entities/datafeed/v2 を呼び出し、返されたフィードを消費します。

既知の制限事項

• Falcon Event ストリームは追加専用であるため、SCDタイプ2はサポートされていません。
• このコネクタでは、過去のルックバックは使用できません。取り込みはデータソース作成時に起動されます。取り込む期間の選択を参照してください。

インジェストのための CrowdStrike の構成

CrowdStrikeは、OAuth 2.0クライアント資格情報トークンを使用してFalcon Event ストリーム要求を認証します。Databricksは、クライアントIDとクライアントシークレットをアクセストークンと交換し、Falcon Event Streamsフィードを検出して読み込みます。情報については、 CrowdStrikeのEvent ストリーム APIドキュメントを参照してください。

1. Falcon 管理者としてFalcon コンソールにサインインします。
2. サポートとリソース に移動し、 API クライアントとキー に移動します。
3. 新しい API クライアントの追加 をクリックします。
4. 「 クライアント名 」（例えば Event_Stream_Ingestor）と、任意の「 概要 」を入力します。
5. API scopes で Event ストリーム を見つけ、 Read を有効にします。
6. 作成 をクリックします。
7. 「 クライアントID 」、「 クライアントシークレット 」、「 ベースURL 」をコピーします。CrowdStrikeはクライアントシークレットを一度だけ表示します。Databricks接続の場合は、https://スキーマを使用してパスなしのベースURLを入力します（例：https://api.crowdstrike.comまたはhttps://api.us-2.crowdstrike.com）。

ヒント

Lakewatch UIから接続を作成する場合、収集した「 クライアントID 」、「 クライアントシークレット 」、「 ベースURL 」が必要になります。

次のステップ

上記の構成が完了したら、Lakewatch UIでCrowdStrikeコネクタを使用してデータソースを作成します。手順については、「APIコネクタ」をご覧ください。

---

コネクタとLakewatchのスキーマ

コネクタは、default ソーススキーマから次のソーステーブルを取り込みます。

ソーステーブル	CrowdStrikeデータ	組み込みのLakewatchパーサー
events	Falcon Event ストリームステナントイベント	crowdstrike_event_streams

ソーステーブル	CrowdStrikeデータ	組み込みのLakewatchパーサー
events	Falcon Event ストリームステナントイベント	crowdstrike_event_streams

コネクタはソーステーブルをデータソースのRAW宛先に書き込みます。データソースを構成する際に解析済み宛先を設定しない限り、組み込みパーサーはパーサーの名前に基づいた個別の解析済みテーブルに書き込みます。

Lakewatch管理列

コネクターは以下を導出します：

• time: metadata.eventCreationTime の Null 以外のタイムスタンプ。Unix エポックのミリ秒として解釈されます。コネクタは、増分取り込みのカーソルフィールドとして time を使用します。
• lw_id：Lakewatchが主キーとして使用するNULL以外の文字列。コネクターは、time、イベントのフィード、およびそのオフセットから、安定した時間順に並べ替え可能な ID を取得します。この ID は、増分同期全体にわたる重複排除をサポートします。

Lakewatchデータソースの場合、未加工レコードと解析済みレコードには以下も含まれます。

• lw_meta：標準のLakewatch処理メタデータ。
• lw_observables：セキュリティ可観測項目についてイベントペイロードを再帰的にスキャンして識別された値。

また、パーサーは解析済みtime列を割り当てます。

情報については、 パーサー リファレンスを参照してください。

未処理のコネクタテーブルスキーマ

スキーマ

列	データ型
lw_id	STRING
time	TIMESTAMP
event_data	STRING
data	VARIANT

列	データ型
lw_id	STRING
time	TIMESTAMP
event_data	STRING
data	VARIANT

注記

event_data は廃止されました。代わりに data を使用してください。dataにはevent_dataと同じイベント情報が含まれていますが、クエリーのパフォーマンスを向上させるためにVARIANTタイプが使用されます。

パーサーのオブザーバブル

crowdstrike_event_streamsパーサーはdataを再帰的にスキャンして、名前が以下の観測可能タイプを識別するフィールドを探します：

可観測項目

観測可能タイプの識別子	フィールド名を一致させる
IP アドレス	userip、localip、localaddress、 remoteaddress
ホスト名	computername、hostname、 hostnamefield
ハッシュ	md5string、sha1string、 sha256string
MACアドレス	macaddress
メール	userid
ユーザー名	username
トレースID	sessionid
URL	falconhostlink
MITRE ATT&CK手法	technique

観測可能タイプの識別子	フィールド名を一致させる
IP アドレス	userip、localip、localaddress、 remoteaddress
ホスト名	computername、hostname、 hostnamefield
ハッシュ	md5string、sha1string、 sha256string
MACアドレス	macaddress
メール	userid
ユーザー名	username
トレースID	sessionid
URL	falconhostlink
MITRE ATT&CK手法	technique