Transmissões de eventos do CrowdStrike Falcon

info

Visualização

O Lakewatch está em Visualização privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.

O Lakewatch fornece um conector de API para ingerir dados de transmissões de eventos do CrowdStrike Falcon. Este artigo aborda pré-requisitos, instruções de configuração, esquemas de conector e observáveis de analisador do Lakewatch.

Pré-requisitos

O conector requer:

1. Serverless Lakeflow Spark Declarative Pipelines ativado no seu workspace.
2. Unity Catalog, com privilégios para criar ou usar uma conexão do Unity Catalog. Consulte Permissões de conexão.
3. Um administrador do Falcon que pode criar um cliente de API OAuth2. Consulte a documentação da API Transmissões de Eventos do CrowdStrike.
4. Um cliente de API com o escopo transmissões de eventos e a permissão Ler (leitura de event_streams). O conector chama GET /sensors/entities/datafeed/v2 e consome os feeds retornados.

Limitações conhecidas

• O SCD tipo 2 não é compatível, pois as transmissões de eventos do Falcon são apenas de anexação.
• A consulta de histórico não está disponível para este conector. A ingestão começa na criação da fonte de dados. Consulte Escolher até que ponto retroceder na ingestão.

Configurar CrowdStrike para ingestão

O CrowdStrike autentica as solicitações de Falcon Event Streams com um token de credenciais de cliente OAuth 2.0. O Databricks troca o ID e o segredo do cliente por um access token, depois descobre e lê os feeds de Falcon Event Streams. Para obter mais informações, consulte a documentação da API Event Streams do CrowdStrike.

1. Faça login no Console Falcon como um administrador Falcon.
2. Vá para Suporte e recursos e, depois, Clientes e chaves de API .
3. Clique em Adicionar novo cliente de API .
4. Insira um Nome do cliente (por exemplo, Event_Stream_Ingestor) e uma Descrição opcional.
5. Em Escopos de API , encontre Transmissões de eventos e habilite Leitura .
6. Clique em Criar .
7. Copie o ID do cliente , o segredo do cliente e a URL base . O CrowdStrike mostra o segredo do cliente apenas uma vez. Para a conexão do Databricks, insira a URL base com o esquema https:// e sem caminho (por exemplo, https://api.crowdstrike.com ou https://api.us-2.crowdstrike.com).

dica

Ao criar uma conexão por meio da interface do usuário do Lakewatch, você precisa do ID do cliente , do Segredo do cliente e da URL base coletados acima.

Os passos seguintes

Após concluir a configuração acima, crie uma fonte de dados com o conector CrowdStrike na interface do usuário do Lakewatch. Consulte conectores de API para obter instruções.

---

Esquemas do conector e do Lakewatch

O conector ingere a seguinte tabela de origem do esquema de origem default:

Tabela de origem	Dados CrowdStrike	Analisador Lakewatch integrado
events	Eventos de tenant de transmissões de eventos do Falcon	crowdstrike_event_streams

Tabela de origem	Dados CrowdStrike	Analisador Lakewatch integrado
events	Eventos de tenant de transmissões de eventos do Falcon	crowdstrike_event_streams

O conector grava a tabela de origem no destino bruto da fonte de dados. O analisador integrado grava uma tabela analisada separada com o nome do analisador, a menos que você defina um destino analisado ao configurar a fonte de dados.

Colunas gerenciadas pelo Lakewatch

O conector deriva:

• time: Um timestamp não nulo de metadata.eventCreationTime, interpretado como milissegundos da época Unix. O conector usa time como o campo de cursor para ingestão incremental.
• lw_id: Uma string não nula que o Lakewatch usa como key primária. O conector deriva um ID estável e classificável por tempo de time, o feed do evento e seu deslocamento. O ID suporta a eliminação de duplicatas em sincronizações incrementais.

Para fontes de dados do Lakewatch, os registros brutos e analisados também incluem:

• lw_meta: Metadados de processamento padrão do Lakewatch.
• lw_observables: Valores identificados por meio da varredura recursiva do payload do evento em busca de observáveis de segurança.

O analisador também atribui a coluna time analisada.

Para mais informações, consulte Referência do parser.

Esquema da tabela do conector bruto

Esquema

Coluna	Tipo de dados
lw_id	STRING
time	TIMESTAMP
event_data	STRING
data	VARIANT

Coluna	Tipo de dados
lw_id	STRING
time	TIMESTAMP
event_data	STRING
data	VARIANT

nota

event_data foi descontinuado. Use data em vez disso. data contém as mesmas informações de evento que event_data, mas usa o tipo VARIANT para melhorar o desempenho da query.

Observáveis do analisador

O analisador crowdstrike_event_streams verifica data recursivamente em busca de campos cujos nomes identificam os seguintes tipos observáveis:

Observáveis

Tipo observável	Nomes de campos correspondentes
Endereço IP	userip, localip, localaddress, remoteaddress
Hostname	computername, hostname, hostnamefield
Hash	md5string, sha1string, sha256string
Endereço MAC	macaddress
E-mail	userid
Nome de usuário	username
ID de rastreamento	sessionid
URL	falconhostlink
Técnica MITRE ATT&CK	technique

Tipo observável	Nomes de campos correspondentes
Endereço IP	userip, localip, localaddress, remoteaddress
Hostname	computername, hostname, hostnamefield
Hash	md5string, sha1string, sha256string
Endereço MAC	macaddress
E-mail	userid
Nome de usuário	username
ID de rastreamento	sessionid
URL	falconhostlink
Técnica MITRE ATT&CK	technique