■はじめに

本記事では、NDRとEDR領域のリーダー製品であるDarktraceとCrowdstrikeのアラートの連携手順をご紹介しています。

Crowdstrikeとの連携関連の記事は以下にもございますので、併せてお読みいただくと参考になるかもしれません。
Darktrace記事一覧

=================================================
目次
■連携で実現する事
 ■連携手順
 ■最後に
=================================================

■連携で実現する事

EPP/EDRで保護を行った際に、実際どの程度他端末へ被害が広がっているかはなかなか見えにくい部分です。
もちろん最近のエンドポイントセキュリティ製品は多機能かつエンドポイント以外の保護も可能にしているものが多く様々なモジュールで広い領域の保護を行えるようにラインナップされているCrowdstrikeはその代表例とも言えます。

ただ、そこにNDRのAIセキュリティが加われば鬼に金棒だと思いませんか？

Darktraceには以下のようなCrowdstrikeとの連携機能がございます。

これだけだとちょっとわからないですね。
以下に一例を図にしてみました。

実画面で見てみると、Crowdstrikeのアラートを契機に通信の解析をしていますね。

連携ではこれ以外にも脆弱性対応状況の可視化やCrowdstrikeのインストール状況の可視化なども可能です。

例えば病院でのセキュリティを考えるときなど、医療機器以外の端末にはCrowdstrikeをインストールしたものの、そこからの通信や攻撃の広がりを想定したときになかなか分析が難しいところがあります。

Crowdstrikeがインストールできる部分はCrowdstrikeでしっかり守り、そこから先のエージェントインストールが難しい部分のセキュリティはNDRで保護していく。
そう考えたときに、より正確に攻撃の流れを分析できるようになるというのは大きなメリットです。
ここまで優秀な製品で固めて適切に利用できていたらより前段で止めているとも思えますが。
万が一ADまで攻撃が及んでも、その先の通信までNDRがマークするのでEPP/EDRがインストールされていない閉域へのアクセスなどもしっかりトレースし防ぐことも可能になります。

ともあれ連携手順自体はかなり簡単かつ有用性も高いので、やってみる価値"大"です。

更に連携の恩恵はこれだけではありません。以下のようなことも可能です。

デバイスの脆弱性・CVE情報をDarktrace上に表示
CrowdStrikeとDarktraceが検出したデバイスを、MACアドレスやホスト名などで照合
対象端末をDarktraceから手動でネットワーク隔離
Proactive Exposure Managementを利用時は、CrowdStrikeの脆弱性情報を攻撃経路分析やリスク計算に活用可能
※要ライセンス

例えば資産管理面でCrowdstrikeがインストールされてない端末の洗い出しなどにも使えそうですね。
では、以下連携手順となります。

■連携手順

・要件

Darktrace 6.2.4以上
→Darktrace本体のバージョン
CrowdStrikeのRaptorインスタンス
→要するにAPIの受け口なので、気にしなくてもよいかと
CrowdStrike Falcon APIを利用できるライセンス
→同上
脆弱性情報を取得する場合はFalcon Spotlight
Crowdstrikeの脆弱性を扱うモジュールライセンスですね。
脆弱性関連の情報も連携させる場合は必要です。
端末隔離を行う場合はFalcon Endpoint ProtectionとDarktrace / NETWORK Autonomous Response
DarktraceのNDRライセンスです。これが無いと始まりません。

API連携手順

まずはCrowdstrikeでAPIトークンを発行します。

Crowdstrike

CrowdStrikeのGUIでAPIクライアントを作成します。

①管理者としてCrowdStrike Falconへログイン
②Support > API Clients and Keysを開きます。

③APIクライアントの作成をクリックします。

④任意の名前や説明(空白可)、必要な権限(表を参照)にチェックを入れ作成をクリックします。

Alerts	Read	脅威アラートの取得
Hosts	Read	デバイス情報の取得と照合
Hosts	Write	端末隔離の実行
Vulnerabilities	Read	脆弱性情報の取得