メインコンテンツへスキップ

検索

【EDR設定】CrowdStrikeとの連携設定

対象ライセンス
以下のライセンスでご利用いただけます（別途記載されている場合を除きます）。
SeciossLink Enterprise, SeciossLink ゼロトラストSSO, ゼロトラストBusiness

 

この記事では、SeciossLinkとEDR製品「CrowdStrike」の連携機能の概要と設定方法を解説します。

 

機能の概要

SeciossLinkとEDR製品の「CrowdStrike」を連携することで、エンドポイントのセキュリティ強化を実現します。

CrowdStrikeが不正アクセスを検知した場合、SeciossLinkに検知イベントを送信します。イベント情報を受信したSeciossLinkは、端末を利用しているアカウントを自動的に無効化、もしくはアクセス時にリスクベース認証を適用して追加認証を要求することで、不審な端末からのアクセスを防止してセキュリティを強化します。
 

（例1）通常時のログインフロー

 

（例2）Microsoft Defender for Endpointで検知後、SeciossLinkでアカウント停止した場合の流れ

 

（例3）Microsoft Defender for Endpointで検知後、SeciossLinkで追加認証する場合の流れ

 

ポイント
SeciossLinkでは、CrowdStrikeから送信されたアラート通知を元に、端末ではなくアカウント単位で不正アクセスを防止します。複数の端末を利用するユーザーから特定の端末でのみ不正アクセスが検知された場合も、該当のSeciossLinkアカウントが利用する端末すべてが不正アクセスの防止対象となります。
例えば、ユーザーXが端末A・端末B・端末Cの3台を利用している場合、端末Aから不正アクセスが検知が発生するとユーザーXのSeciossLinkアカウントに検知ログによる不正アクセスの防止が適用されます。そのため、リスクベース認証を設定している場合は、端末B及びCからのアクセスに対しても追加認証が求められます。

 

設定の流れ

CrowdStrikeと連携し、不審な端末からのアクセスを防いでセキュリティを強化するために必要な設定は以下のとおりです。

  1. CrowdStrikeの設定
  2. SeciossLinkの設定

CrowdStrikeの設定

CrowdStrikeの設定を行います。

確認
設定にはCrowdStrikeのAdmin権限が必要です。

CrowdStrike Webhookの設定

  1. CrowdStrike管理コンソールにログイン後、画面左上のハンバーガーメニューをクリックして［CrowdStrike Store］の項目内にある[すべてのアプリ]をクリックします。

     

  2. CrowdStrike Apps一覧からツール名［CrowdStrike Webhook］を検索して、表示されたツールをクリックします。

     

  3. CrowdStrike Webhookの画面で[設定]ボタンをクリックします。


     

  4. [設定の追加]ボタンをクリックして設定画面を開きます。

     

  5. 設定画面に必要項目を入力します。

     

  6. [Name]の項目に、任意の名称を入力します。

     

  7. [Webhook URL]の項目に、以下のURLを入力します。
    https://slink.secioss.com/api/threat.php/<tenantid>/crowdstrike
    ※画面イメージでは<tenantid>を「test.com」に設定しています

  8. [HMAC Secret Key]の項目に、任意の値を入力します。

 

［CrowdStrike Webhook］の設定項目

項目 説明
Name 任意の名称を入力します。
Webhook URL

以下のURLを入力します。
https://slink.secioss.com/api/threat.php/<tenantid>/crowdstrike

記入例：
https://slinktest.secioss.net/api/threat.php/test.com/crowdstrike
HMAC Secret Key 任意の値を設定します。

 

Fusion SOARの設定

  1. 画面左上のハンバーガーメニューをクリックして［Fusion SOAR］の項目内にある[ワークフロー]をクリックします。

     

  2. Fusion SOARの画面で[ワークフローの作成]ボタンをクリックします。

     

  3. [ワークフローを最初から作成]を選択したうえで[次へ]ボタンをクリックします。

     

  4. トリガーの追加画面で[EPP Detection]を検索して、表示されたトリガーをクリックします。

     

  5. [次へ]ボタンをクリックします。

     

  6. ワークフローの設定画面で必要項目を設定します。

     

  7. [アクション]のアイコンをクリックします。

     

  8. アクションの追加画面で[Call Webhook]を検索して、表示されたアクションをクリックします。

     

  9. アクションの追加画面で必要項目を入力します。

     

  10. [Webhook名]の項目で、プルダウンメニューから[CrowdStrike Webhook]で作成した[webhookの設定名]を選択します。

     

  11. [データ形式]の項目で、プルダウンメニューから[デフォルト]を選択します。

     

  12. データ形式を設定すると表示される[Data to include]の項目で、プルダウンメニューから
    [Sensor hostname]　[Sensor platform]　[Sensor mac address]　[Severity]を選択します。

  13. 各項目の設定が完了したら[次へ]ボタンをクリックします。

     

  14. ワークフロー画面右上の[公開]ボタンをクリックすると、作成したワークフローの設定が保存されて公開状態になります。

［CrowdStrike Webhook］の設定項目

項目 説明
Webhook名 [CrowdStrike Webhook]で作成した[webhookの設定名]を選択します。
データ形式 [デフォルト]を選択します。
Data to include データ形式を設定すると表示されます。
以下の4つを選択します。
[Sensor hostname]
[Sensor platform]
[Sensor mac address]
[Severity]


以上でCrowdStrikeの設定は完了です。

 

SeciossLinkの設定

SeciossLinkの設定は以下のとおりです。

  1. クライアント証明書の設定 
  2. リスクベース認証の設定　※不正検知後の対応が「追加認証」の場合  
  3. SeciossLinkのEDR設定 

 

クライアント証明書の設定

ユーザーの端末にクライアント証明書を導入します。

参照する記事：クライアント証明書（SeciossLink）の発行

ポイント
クライアント証明書の設定では、証明書が端末を識別するためのOTA（クライアント証明書を指定のデバイスに配布するための方法）設定が必須です。
例：Windows端末の場合はMACアドレスを設定します。

 

リスクベース認証の設定　※不正検知後の対応が「追加認証」の場合

リスクベース認証を設定します。

リスクベース認証は、Microsoft Defender for Endpointで検知後にSeciossLinkでリスクベース認証（追加認証）を適用する場合に設定します。
※Microsoft Defender for Endpointで検知後、SeciossLinkのアカウントを無効化する場合にはリスクベース認証の設定は不要です。

ポイント
リスクベース認証は、アクセス時のリスクレベルをSeciossLinkが自動判定し、設定に応じて追加認証を要求する機能です。
EDR連携ではリスクレベルを問わず、Microsoft Defender for Endpointの検知後は自動でリスクベース認証で設定した認証方式が要求されます。

 

  1. リスクベース認証を設定します。

    参照する記事：認証ルールを設定する
    ※「認証ルールを設定する」>「認証ポリシーの設定」>「リスクベース認証の設定」をご参照ください。

    確認
    リスクベース認証では、認証ルールと異なる認証方式を設定してください。
    認証ルールは （左メニューバー）認証 ＞ 一覧 から確認できます。

    設定例：
    認証ルールにID/パスワード認証とワンタイムパスワードを設定する場合、リスクベース認証にはFIDO認証を設定する。

     

  2. 認証ルールの認証方式に、「リスクベース認証」を追加します。

    参照する記事：認証ルール登録

 

SeciossLinkのEDR設定

SeciossLinkの連携設定をします。

  1. SeciossLinkの管理コンソールにて、（左メニューバー）ITDR を開き、［EDR 設定］をクリックします。

     
  2. ［EDR 設定］の項目で、ドロップダウンメニューから「CrowdStrike」を選択します。

     
  3. ［HMAC Secret Key］の項目に、Singularity Webhookで設定した[HMAC Secret Key]の値を入力します。
     

  4. ［重大度］の項目で、ドロップダウンメニューから「CrowdStrike」の検知レベルを設定します。

     

  5. ［対応方法］の項目で、ドロップダウンメニューからCrowdStrikeが不正検知した際の対応方法を選択します。
     

    ［追加認証］：CrowdStrikeが不正を検知すると、認証ルールの認証方式に加えて「リスクベース認証」で設定した認証方式を追加で要求します。

    ［アカウント停止］：CrowdStrikeが不正を検知すると、その端末に紐づくユーザーアカウントのユーザー状態が無効になります。ユーザー状態が無効の場合、SeciossLinkにログインできません。

     

  6. すべての項目の設定が完了したら、下部の［保存］をクリックします。以上でSeciossLinkの設定は完了です。

    ※EDR設定で入力及び変更された項目が反映されるまで1時間ほどかかります。
     

図　CrowdStrikeのEDR設定画面の設定イメージ

 

表　SeciossLinkのEDR設定画面で設定する項目と説明

項目 説明
HMAC Secret Key [HMAC Secret Key]の項目で設定した任意の値を入力します。
重大度 CrowdStrikeから送信されるイベントの検知レベルを設定します。
CrowdStrike側のイベント検知における重大度のレベルは以下の5段階です。
• 重大
• 高
• 中
• 低
• 情報
対応方法

CrowdStrikeが不審なアクセスを検知した後のSeciossLinkの対応方法を選択します。

  • ［追加認証］：リスクベース認証で設定した認証を追加要求します。
  • ［アカウント停止］：該当のアカウントを停止します。

また、上記の処理を実施した後は、対象ユーザーのセッションをクリアします。

※上記すべての項目を設定してください。設定後は必ず保存してください。

 

困ったときには
Q. CrowdStrikeで不審検知してもSeciossLinkで設定した追加認証が実施されない。
A. リスクベース認証が設定されていない可能性があります。 
ユーザーの認証ルールにリスクベース認証が設定されているかをご確認ください。
参照する項目：リスクベース認証の設定