CrowdStrike Falconを接続する

CrowdStrike Falconコネクターを使用すると、ISPMは管理対象エンドポイントで実行されるAIエージェントを検出できます。

このタスクについて

早期アクセスリリース

CrowdStrike FalconをISPMに接続すると、ISPMは管理対象エンドポイントで実行されるAIエージェントを検出できます。ISPMは、作成した読み取り専用APIクライアントを使用して、CrowdStrike APIを介してCrowdStrike Falconからホストとアセットのインベントリを参照できます。セットアップは次の2つの場所で行われます。
  1. CrowdStrike Falconで、APIクライアントを作成して必要な読み取りスコープを付与します。
  2. ISPMで、クライアント資格情報を入力します。

始める前に

  • MCPサーバー検出には、CrowdStrike Falcon Insightを有効にする必要があります。これは、Falcon EnterpriseおよびFalcon Completeライセンスに含まれています。
  • Falcon Discover製品はオプションです。Falcon Discover権限のみ（Falcon Insightなし）を使用した場合、ISPMは管理対象エンドポイント上のAIエージェントを検出できますが、MCPサーバーは検出しません。
  • MCPサーバー検出には、ngsiem:write（CQLクエリの送信によって一時的な検索ジョブが作成されます）とngsiem:read（ポーリングと結果取得のため）の権限が必要です。ISPMがCrowdStrike環境にデータを書き込むことはありません。Falconコンソールでアラート、ルール、レコードが作成または変更されることはありません。
  • APIクライアントを作成できるFalconロール（Falcon管理者、またはAPIクライアント管理を持つカスタムロール）が必要です。
  • CrowdStrike Falconのクラウドリージョンを把握します。これはベースURLを決定します（例：US-1にはhttps://api.crowdstrike.com）。
  • IP許可リスト管理の権限が必要です。

手順

  • ISPM IP範囲を許可リストに追加する
    1. 任意。CrowdStrike FalconアカウントでIP許可リストが有効になっている場合は、ISPM IP範囲を追加します。CrowdStrike Falconコンソールで、ホストのセットアップおよび管理（Host setup and management） > Falconユーザー（Falcon users） > IP許可リストの管理（IP Allowlist Management）に移動します。
    2. IPグループを作成する（Create IP group）をクリックします。
    3. グループ名を付けます（例：ISPM-AI-Discovery）。
    4. アクセスタイプ（Access type）をAPIに設定します。
    5. 次のそれぞれのIPアドレスとCIDR範囲を入力します。

      • 18.98.16.160/27

      • 3.44.64.96/27

      • 3.40.0.96/27

      • 13.52.68.184

      • 54.193.209.206

      • 13.57.96.208

      • 184.72.14.192

      • 13.57.65.107

      • 13.57.96.250

      • 18.99.81.192/27

      • 18.97.155.0/27

    6. IPグループを作成する（Create IP group）をクリックします。
    7. グループのステータス（Status）をオン（On）に切り替えます。適用が有効になるまで30分待ちます。
  • CrowdStrike Falconを接続する
    1. CrowdStrike Falconコンソールで、 サポートおよびリソース（Support and resources） > リソースおよびツール（Resources and tools ） > APIクライアントおよびキー（API clients and keys）に移動します。
    2. APIクライアントを作成する（Create API Client）をクリックします。
    3. クライアントに名前を入力します（例：ISPM-AI-Discovery）。
    4. ホスト（Hosts）、NGSIEM APIスコープに参照（Read）アクセスを付与します。
    5. NGSIEM APIスコープへの更新（Write）アクセスを付与します。
    6. 任意。アセット（Falcon Discover）（Assets（Falcon Discover））APIスコープへの参照（Read）アクセスを付与します。
    7. クライアントID（Client ID）、シークレット（Secret）、およびベースURL（Base URL）をコピーします。シークレット（Secret）は一度しか表示されません。このページを閉じる前にコピーします。
    8. クリックして作成します。
    9. ISPMコンソールで設定（Settings） > ソースギャラリー（Sources Gallery）に移動します。
    10. Crowdstrike統合を選択します。
    11. クライアントID（Client ID）、シークレット（Secret）、およびベースURL（Base URL）を貼り付けます。
    12. 接続を保存してテストします。