■はじめに

本記事では、NDRとEDR領域のリーダー製品であるDarktraceとCrowdstrikeのNG-SIEMとの連携手順をご紹介しています。

NG-SIEM関連の記事は以下にもございますので、事前にお読みいただくと参考になるやも。
【CrowdStrike】次世代SIEM（NG-SIEM）とは？CrowdStrikeで実現する新時代のセキュリティ運用
【CrowdStrike】NG-SIEMのサードパーティ連携手段をまとめてみた

=================================================
目次
■連携で実現する事
■連携手順
■最後に
=================================================

---

■連携で実現する事

Crowdstrikeといえば、EPP/EDRから始まり
幅広いセキュリティ分野を豊富なモジュールで包括的にカバーする
セキュリティ分野のリーダー的な製品です。

そしてCrowdstrikeにはNG-SIEMという革新的なソリューションがございます。

エンドポイントセキュリティ製品はセキュリティイベントなどのログについて自身(または製品管理サーバー)でのみ利用するか、あるいは外部のSIEMにログを転送して分析管理を行うのが一般的です。
しかし、Crowdstrikeは他の製品のログを取り込み相関的に分析したりすることを可能にしています。
これによりセキュリティ管理者は、環境内の境界やＮＷ、そしてエンドポイントのセキュリティイベントの関連性をしっかりと把握し対処することが可能になります。

本記事では、CrowdstrikeのNG-SIEM機能を利用してDarktraceのログを取り込む手順をご紹介します。
EDRリーダーとNDRリーダーの熱いタッグですね。

では、以下手順となります。

---

■連携手順

この手順でのログ転送では、以下のようにログサーバーへDarktraceのログを集積し
そこにCrowdstrikeのFalcon LogScale CollectorをインストールしCrowdstrike側へログを転送します。
なお、本手順でご紹介しているCrowdstrikeの設定手順は検証で確認が取れた比較的古いものとなります。
現在でも本手順の使用は可能ですが、可能な場合は新しい方式での実施をお勧めいたします。

Darktrace

まず、Darktrace側でログの送信設定を行います。

Darktrace Threat Visualizer > Admin > System Config

Modules > Workflow Integrations > Syslog

使用するログ形式のタブを選択します。
※Crowdstrike公式のDarktraceパーサーはLEEF未対応です。

ログサーバーのIPと使用ポートを指定します。

Show Advanced Optionsを有効化し、送信ログの設定を実施します。
デフォルトではDarktraceの機器ステータス関連の項目も送信対象となっているため
AI AnalystやModel Alertなどセキュリティ関連のアラートのみに絞るなど任意の形に調整します。

設定完了後、一旦画面上部のSaveから設定を保存します。

　

Crowdstrike

次に、Crowdstrike側でログ取り込みのための設定を行います。

Falcon Platform > 次世代SIEM > データオンボーディング

[＋接続の追加]をクリックし、データコネクターの一覧画面を表示します。

コネクター名でフィルターし、Darktrace Detect Data Connector を選択します。
詳細画面が表示されるため、[設定]をクリックします。

以下表を参考に値を入力し、接続の作成をクリックします。

項目	入力内容
Connection name 必須	任意の値
Description (Optional)	任意の値
Data timezone	任意の値
Parsers 必須	darktrace-detect ※メーカー作成のパーサー指定済み
Host enrichment	任意
I affirm that any data shared with CrowdStrike using connectors or 3rd party applications will be done so in accordance with the Terms and Conditions . 必須	チェック

[閉じる]をクリックします。

画面右上のAPIキーの生成をクリックします。

表示されたAPIキーとAPI URLを保存しておきます。

ログ転送ツールのダウンロードとインストール

Falcon Platformから、ログ転送ツールをダウンロードしログサーバーへインストールします。

Falcon Platform > サポートおよびリソース > ツールのダウンロード

ログサーバーに合わせたツールをダウンロードします。
今回の例ではUbuntuで実施します。

ログサーバーでツールを展開します。

インストールコマンドe.g.)
Sudo dpkg -i humio-log-collector_1.9.0_linux_amd.deb

インストール後に、ツールのコンフィグを書き換えます。

書き換え前)

書き換え後)
tokenとURLは前述の手順で保存したものを使用します。

dataDirectory: /var/lib/humio-log-collector sources:   darktrace_json:     type: syslog   mode: tcp     port: 1514     sink: crowdstrike sinks:   crowdstrike:   type: hec     token: <APIキー>     url: https://<API URL>.ingest.crowdstrike.com/

LogCollectorを再起動しステータスを確認します。
※適宜enableコマンドで自動実行の設定も実施してください。

起動時にエラーなどが見られる場合は、ジャーナルコマンドなどで確認します。
API URLの記述ミスや、FWの設定不備などがよく発生しますのでご留意ください。

e.g.)ジャーナル確認コマンド
sudo journalctl -u humio-log-collector.service -f

エラー例

成功例

Darktrace ＆ Crowdstrike

最後に、Darktrace～Crowdstrikeまでのログ転送に問題がないか確認します。

最初に設定したDarktraceのSyslog設定画面で、[Verify alert settings]をクリックし、テストログを送信します。

Darktrace側のNG-SIEMイベント検索画面で、検索してログの到達を確認します。

例)
ソース：すべて
過去時間：適宜の時間
#Vendor / が次に等しい / darktrace

ログの到達が確認できれば、DarktraceとCrowdstrikeの接続は完了です。

---

■最後に

私も検証して初めて知ったのですが、Crowdstrike側で既にコネクタやパーサーが準備されていました。
メーカー同士、手を組んで皆さんの環境を守れるように協力しているんですね。

Darktraceのマニュアルを見ると、Crowdstrike以外のとても多くの製品と連携できるように手順が準備されています。
それも、相手側製品のＧＵＩ操作の内容まで細かく。
色々な製品に触れてまいりましたが、連携についてここまでしっかりと資料化しているのは驚きました。
今後も様々な製品との連携をご紹介できればと考えております。

ご一読いただき、ありがとうございました。

---

※本ブログの内容は投稿時点での情報となります。今後アップデートが重なるにつれ
　正確性、最新性、完全性は保証できませんのでご了承ください。