Integraciones de NinjaOne: activar CrowdStrike

Tema

NinjaOne se integra con CrowdStrike Falcon (FalconInsight XDR y Falcon Prevent), una solución integrada basada en la nube que combina detección y respuesta de endpoints (EDR) y protección de endpoints (EPP).

Entorno

• Integraciones de NinjaOne
• CrowdStrike

Descripción

La integración con CrowdStrike se rige por políticas desde NinjaOne cuando se activa. NinjaOne asigna automáticamente las organizaciones a los grupos de hosts dinámicos de CrowdStrike (grupos de dispositivos estándar) basándose en las etiquetas de agrupación de Falcon.

La política activa el agente de supervisión y gestión remotas (RMM) de NinjaOne para detectar la instalación existente del sensor de CrowdStrike en el terminal e instalarlo automáticamente si no está presente. Si un dispositivo ya tiene instalado CrowdStrike antes de activar la integración, el agente de NinjaOne puede leer el ID del agente existente.

Ver tutoriales adicionales en nuestra biblioteca de vídeos.

Selecciona una categoría para aprender más:

• Antes de empezar
• Requisitos previos
• Funciones principales
• Activar la integración con CrowdStrike
• Asignar organizaciones de NinjaOne a grupos de hosts de CrowdStrike
• Configurar los alcances de la API para la multitenencia
• Recursos adicionales

Antes de empezar

Al desplegar la integración de CrowdStrike Falcon, es importante mantener la siguiente información en cuenta:

• La versión disponible de Falcon Sensor es la 7.19.18910 en Microsoft Windows y Apple macOS.
• NinjaOne no admite tokens de instalación de CrowdStrike. En su lugar, este proceso utilizará tokens de acceso.
• NinjaOne no desinstala el antivirus de los dispositivos si desactivas CrowdStrike en NinjaOne.
• NinjaOne utiliza la versión general del instalador en caché de CrowdStrike Falcon Sensor, ya que se sabe que es compatible con los dispositivos. La integración de NinjaOne con CrowdStrike sigue las políticas de CrowdStrike Falcon Sensor, por lo que este se actualizará o se revertirá a una versión anterior después de la instalación, en función de tu configuración de CrowdStrike.

Requisitos previos

Debe cumplir los siguientes requisitos antes de proceder con la integración:

• Disponer de una licencia válida de CrowdStrike Falcon.
• Poder generar tokens de la interfaz de programación de aplicaciones (API) en la consola de CrowdStrike Falcon.
• Tener acceso a las aplicaciones de CrowdStrike: Falcon Prevent y Falcon Insight XDR (detección y respuesta ampliadas).
• Disponer de una cuenta principal de CrowdStrike (NinjaOne no supervisa actualmente las cuentas heredadas en CrowdStrike Flight Control para organizaciones).

Si su instancia de CrowdStrike requiere la inclusión de direcciones de Protocolo de Internet (IP) en la lista de permisos, consulte la información sobre la lista global de permisos de NinjaOne.

Funciones principales

La integración de CrowdStrike en NinjaOne ofrece las siguientes ventajas.

• Accede a los registros de actividades de los sensores de CrowdStrike en los paneles de control de la organización y de los dispositivos. Cuando falta el alcance del cliente API de CrowdStrike, se muestra un registro de eventos en la pestaña «Actividades» del panel de control.
• Administrar la autenticación de clientes multitenant de CrowdStrike o los grupos de hosts.
• Revisa los detalles del dispositivo y la sección de estado para detectar amenazas, virus y problemas de instalación. Cuando CrowdStrike detecta una amenaza en un dispositivo, NinjaOne muestra una alerta de inmediato. Al hacer clic en la alerta en NinjaOne, el técnico puede acceder a ese dispositivo en la consola de CrowdStrike para investigarlo y solucionarlo.

Activar la integración con CrowdStrike

Para activar la integración de CrowdStrike en NinjaOne, sigue estos pasos:

1. Vaya a Administración → Aplicaciones y haga clic en Añadir aplicaciones. Seleccione CrowdStrike de la lista de aplicaciones de terceros disponibles.

Figura 1: Añadir aplicaciones de terceros en NinjaOne

Aparecerá la página de ajustes de la aplicación.

2. Haz clic en «Habilitar». Aparecerá el cuadro de diálogo de configuración de la aplicación.
3. Lee detenidamente los términos que describen el proceso de migración en el cuadro de diálogo de configuración de CrowdStrike y, a continuación, marca la casilla de verificación situada en la parte inferior de la página para activar el botón «Aceptar ».
4. Accede a https://falcon.{dominio}.crowdstrike.com/support/api-clients-and-keys (la URL base variará en función de la ubicación geográfica o la licencia en la nube) y selecciona un cliente de API o crea uno nuevo. Desde esta página puedes restablecer tu secreto del cliente si lo has olvidado. Introduce los detalles necesarios para confirmar tu cliente de API y, a continuación, configura tus ámbitos de API:

• A cada cliente de API se le asignan uno o más ámbitos de API. Los ámbitos son permisos que especifican los puntos finales y los métodos a los que puede acceder un cliente de API. Al crear un cliente de API, elija entre las acciones de lectura y escritura que puede ejecutar en diferentes grupos de puntos finales de API. Los ámbitos que establezca se aplican a los tokens de acceso generados por las credenciales del cliente de API, y el acceso solo se concede a aquellos puntos finales autorizados para su uso.

• Los clientes de API tienen uno o más ámbitos de API. Los ámbitos permiten el acceso a API específicas de CrowdStrike y describen las acciones que puede realizar un cliente de API. Utilice los ámbitos para ajustar con precisión los permisos de sus clientes de API. Los tokens de acceso de OAuth 2.0 se limitan a los recursos configurados en el cliente de API.

  Si un cliente de API no dispone de los permisos mínimos asignados, es posible que la integración no funcione. Como mínimo, asegúrese de asignar los siguientes alcances al cliente de API. Estos permisos de alcance son necesarios para que la integración se realice correctamente.

Alcances requeridos en la versión 7.0:

5. Haz clic en «Habilitar».

El estado de CrowdStrike debería aparecer ahora como «activado» y «conectado», y puedes comprobar si las credenciales de autenticación utilizadas son válidas haciendo clic en el botón «Editar» del widget «Configuración ».

Figura 2: Estado de la integración de CrowdStrike en NinjaOne

Asignar organizaciones de NinjaOne a grupos de hosts de CrowdStrike

El proceso de «asignación» asocia las organizaciones de NinjaOne con los grupos de gestión de hosts de CrowdStrike, lo que garantiza que se configure el Grupo de dispositivos o la política adecuados y que los informes estén disponibles en NinjaOne.Este proceso está automatizado y se lleva a cabo sin intervención del usuario ni del administrador.

Al activar la integración con CrowdStrike en NinjaOne, se crean automáticamente grupos de gestión de hosts en CrowdStrike para cada organización existente de NinjaOne tan pronto como se active dicha integración. La creación de un grupo de hosts en CrowdStrike no requiere habilitarlo en la política ni implementar el antivirus de CrowdStrike. Estos nuevos grupos dinámicos de hosts reflejan el nombre de la organización utilizado en NinjaOne y se actualizan de forma transparente cuando se crean o eliminan organizaciones de NinjaOne.

NinjaOne asigna una etiqueta de agrupación Falcon (identificador único) a cualquier dispositivo que tenga instalado el agente de NinjaOne y un sensor de CrowdStrike en la organización de NinjaOne. El etiquetado permite asociar correctamente las actividades y las amenazas con el grupo de hosts de CrowdStrike correspondiente. 

Configurar notificaciones a técnicos o tickets para errores de CrowdStrike

Si tus usuarios finales experimentan problemas con credenciales no válidas para la integración de CrowdStrike y NinjaOne, puedes configurar actividades del sistema en NinjaOne para enviar alertas a los técnicos o crear tickets para su resolución.

Si las credenciales no válidas se deben a un error 403 o 401, se activará la actividad «Credenciales de CrowdStrike no válidas ». Sin embargo, si el agente de NinjaOne determina que el error 403 se debió a la falta de un ámbito de alcance del cliente API, se activará la actividad «Integración CrowdStrike: falta el ámbito de alcance del cliente API», con el ámbito de alcance del cliente API correspondiente incluido en el mensaje.

Siga las instrucciones descritas en «NinjaOne Endpoint Management: Canal de notificaciones de actividades de dispositivos y del sistema» para configurar las actividades «Credencial de CrowdStrike no válida » y «Integración de CrowdStrike: falta el ámbito del cliente API ».

Configuración de alcances de API para multitenencia

Si utiliza la multitenencia en NinjaOne, debe configurar nuevos alcances para el cliente de la API. Para obtener más información, consulte «NinjaOne y CrowdStrike: Integración de multitenencia».

Recursos adicionales

Consulte los siguientes recursos para aprender más sobre la integración de NinjaOne con CrowdStrike:

• CrowdStrike Antivirus – NinjaOne Dojo
• Integraciones y Aplicaciones de terceros: Catálogo de recursos