CrowdStrike Falcon
Intégrez CrowdStrike Falcon pour récupérer les données de protection des endpoints
Le connecteur CrowdStrike Falcon permet de récupérer les données d'inventaire et de détections de votre plateforme CrowdStrike directement dans OverView pour une vue consolidée de votre posture de sécurité.
Objectif
Le connecteur CrowdStrike Falcon permet de récupérer les informations suivantes :
- Inventaire des hosts et groupes de hosts
- Détections et incidents de sécurité (alerts)
- Applications et assets (Falcon Discover)
- Vulnérabilités identifiées sur les endpoints (Falcon Spotlight)
Prérequis
- Accès à la console CrowdStrike Falcon
- Permissions d'administrateur pour créer des API keys
- Le module Falcon Discover — requis pour les données d'applications et d'assets ; le scope
discover:readn'apparaît pas dans la console sans ce module
Informations à fournir dans OverView
| Champ | Description |
|---|---|
| URL de base de l'API | URL de base de l'API CrowdStrike Falcon (ex: https://api.crowdstrike.com) |
| Identifiant client | Identifiant client pour l'authentification OAuth2 |
| Secret client | Clé secrète client pour l'authentification OAuth2 |
Paramètres
Ces paramètres sont facultatifs. Conservez leur valeur par défaut sauf besoin particulier.
| Paramètre | Description | Défaut |
|---|---|---|
| Jours de récupération des vulnérabilités | Nombre de jours pour la récupération des vulnérabilités | — |
| Jours de récupération des alertes | Nombre de jours pour la récupération des alertes | 30 |
| Jours de récupération des applications | Nombre de jours pour la récupération des applications | 30 |
Procédure
Créer une API key dans CrowdStrike
- Connectez-vous à la console CrowdStrike Falcon.
- Allez à Support > API Clients and Keys.
- Cliquez sur Add new API client.
- Donnez un nom descriptif (ex : "OverView Integration").
- Accordez l'accès en lecture (Read) aux scopes d'API suivants. Si un scope est manquant, les données correspondantes ne seront pas importées et l'import sera partiel :
- Host Groups (
host-groups:read) - Alerts (
alerts:read) - Falcon Discover (
discover:read) — nécessite le module Falcon Discover - Falcon Spotlight Vulnerabilities (
spotlight-vulnerabilities:read)
- Host Groups (
- Cliquez sur Create.
- Copiez immédiatement le Client ID et le Client Secret.
Récupérer l'URL API
L'URL API dépend de votre région :
- US-1 : https://api.crowdstrike.com
- US-2 : https://api.us-2.crowdstrike.com
- EU : https://api.eu-1.crowdstrike.com
Vérifiez votre région dans les paramètres de votre console.
Configurer le connecteur dans OverView
- Dans OverView, accédez à Data Sources Settings > Sources.
- Sélectionnez CrowdStrike Falcon et cliquez sur Configure.
- Renseignez les champs requis :
- API Base URL
- Client ID
- Client Secret
- Cliquez sur Save Configuration.
Consulter la documentation CrowdStrike API
Permissions requises
Le client API doit disposer de l'accès en lecture (Read) sur les scopes ci-dessous. Si un scope est manquant ou que le module correspondant n'est pas souscrit, les données de cette catégorie ne seront pas importées — le reste de l'import se poursuit normalement.
| Données récupérées | Scope (console Falcon) | Scope API | Note |
|---|---|---|---|
| Inventaire des hosts / groupes | Host Groups | host-groups:read | |
| Détections et incidents | Alerts | alerts:read | |
| Applications et assets | Falcon Discover | discover:read | Nécessite le module Falcon Discover |
| Vulnérabilités | Falcon Spotlight Vulnerabilities | spotlight-vulnerabilities:read |
Alternative : import par fichiers via DropPoint
L'accès API décrit plus haut est la méthode recommandée pour ce connecteur. Lorsqu'il n'est pas disponible (réseau cloisonné, version ou licence sans API, export déjà produit par ailleurs), OverView accepte des exports de fichiers, à déposer dans le bucket dédié à CrowdStrike Falcon.
Bucket : s3://crowdstrike/
Exemple : s3://crowdstrike/export.csv
La procédure est décrite dans le guide OverView DropPoint : génération des credentials, configuration du client, puis envoi des fichiers depuis l'interface web OverView, l'AWS CLI ou un SDK. Les exemples y sont préremplis avec ce bucket lorsque vous suivez ce lien.