Connecter CrowdStrike Falcon

Le connecteur CrowdStrike Falcon permet à ISPM de découvrir les agents IA qui s'exécutent sur vos points de terminaison gérés.

Pourquoi et quand exécuter cette tâche

Version en accès anticipé

En connectant CrowdStrike Falcon à ISPM, vous permettez à ISPM de découvrir des agents IA qui s'exécutent sur vos points de terminaison gérés. ISPM peut lire l'inventaire des hôtes et des actifs de CrowdStrike Falcon via l'API CrowdStrike en utilisant un client API en lecture seule que vous créez. La configuration se fait à deux endroits :
  1. Dans CrowdStrike Falcon, créez un client API et accordez-lui les permissions de lecture requises.
  2. Dans ISPM, saisissez les identifiants client.

Avant de commencer

  • Vous devez activer CrowdStrike Falcon Insight pour la découverte de serveurs MCP. Cette fonctionnalité est incluse dans les licences Falcon Enterprise et Falcon Complete.
  • Le produit Falcon Discover est facultatif. Si vous utilisez uniquement les autorisations Falcon Discover (sans Falcon Insight), ISPM peut découvrir des agents d'IA sur vos points de terminaison gérés, mais ne découvrira pas les serveurs MCP.
  • Pour la découverte de serveurs MCP, vous avez besoin des autorisations suivantes : ngsiem:write (la soumission d'une requête CQL crée une tâche de recherche transitoire) et ngsiem:read (pour interroger et récupérer les résultats). ISPM n'écrit jamais de données dans votre environnement CrowdStrike. Aucune alerte, aucune règle ou aucun enregistrement n'est créé ou modifié dans la console Falcon.
  • Vous avez besoin d'un rôle Falcon qui peut créer des clients API (administrateur Falcon, ou un rôle personnalisé avec la gestion des clients API).
  • Vous devez connaître votre région cloud CrowdStrike Falcon. Elle détermine votre URL de base (par exemple, https://api.crowdstrike.com pour US-1).
  • Vous avez besoin de permissions pour la gestion des listes d'autorisation IP.

Procédure

  • Plage d'IP ISPM de la liste d'autorisation
    1. Facultatif. Si votre compte CrowdStrike Falcon a la liste d'autorisation IP activée, ajoutez la plage d'IP ISPM. Dans la console CrowdStrike Falcon, accédez à Configuration et gestion des hôtes > Utilisateurs Falcon > Gestion de la liste d'autorisation IP.
    2. Cliquez sur Créer un groupe d'IP.
    3. Nommez le groupe (par exemple, ISPM- AI-Discovery).
    4. Définissez le Type d'accès sur API.
    5. Saisissez chacune des adresses IP et plages CIDR suivantes :

      • 18.98.16.160/27

      • 3.44.64.96/27

      • 3.40.0.96/27

      • 13.52.68.184

      • 54.193.209.206

      • 13.57.96.208

      • 184.72.14.192

      • 13.57.65.107

      • 13.57.96.250

      • 18.99.81.192/27

      • 18.97.155.0/27

    6. Cliquez sur Créer un groupe d'IP.
    7. Basculez le Statut du groupe sur Activé. Patientez 30 minutes pour que les changements soient effectifs.
  • Connecter CrowdStrike Falcon
    1. Dans la console CrowdStrike Falcon, accédez à Support et ressources > Ressources et outils > Clients API et clés.
    2. Cliquez sur Créer un client API.
    3. Saisissez un nom pour le client (par exemple, ISPM- AI-Discovery).
    4. Accordez un accès en Lecture seule aux permissions API Hôtes et NGSIEM.
    5. Accordez un accès en Écriture à la permission API NGSIEM.
    6. Facultatif. Accordez un accès en Lecture seule à la permission API Actifs (Falcon Discover).
    7. Copiez l'ID client, le Secret et l'URL de base. Le Secret n'est affiché qu'une seule fois. Copiez-le avant de fermer cette page.
    8. Cliquez pour créer le client API.
    9. Dans la console ISPM, accédez à Paramètres > Galerie des sources.
    10. Sélectionnez l'intégration CrowdStrike.
    11. Collez l'ID client, le Secret et l'URL de base.
    12. Enregistrez et testez la connexion.