Rubrique
Cet article explique comment déployer CrowdStrike sur vos appareils après avoir activé l'intégration dans NinjaOne, activé les notifications relatives aux activités antivirus et permis à vos techniciens d'intervenir face aux menaces détectées.
Environnement
- Fournisseurs intégrés à NinjaOne
- Antivirus CrowdStrike
Description
Une fois CrowdStrike activé dans NinjaOne, l’intégration est pilotée par des règles depuis NinjaOne. La règle déclenche l’agent NinjaOne pour détecter l’installation existante du capteur CrowdStrike sur le terminal et effectuer l’installation automatiquement si le capteur n’est pas présent. Si CrowdStrike est déjà installé sur un appareil avant l’intégration à NinjaOne, l’agent NinjaOne peut lire l’ID de l’agent existant.
Avant de pouvoir déployer CrowdStrike comme outil antivirus sur vos terminaux, vous devez activer l’intégration dans NinjaOne. Pour ce faire, consultez le guide d’intégration CrowdStrike.
Sélectionnez ensuite une catégorie pour en savoir plus :
- Déployer CrowdStrike au niveau des stratégies
- Activer les notifications d’activité
- Définir les autorisations de l’utilisateur pour CrowdStrike
- Afficher les états de santé et les journaux d’activité de CrowdStrike
Déployer CrowdStrike au niveau de la stratégie
La sélection de CrowdStrike comme antivirus de la politique déclenche l’installation du capteur CrowdStrike par l’agent NinjaOne sur le ou les terminaux concernés.
- Accédez à Administration → Stratégies et sélectionnez la stratégie qui nécessite l’antivirus CrowdStrike ou créez-en une nouvelle.
- Ouvrez l'onglet Antivirus et sélectionnez CrowdStrike dans le Menu déroulant. Si un autre antivirus est déjà sélectionné, vous devez d'abord choisir « Désactivé » avant de sélectionner « CrowdStrike ».Remarque importante : si vous passez d’un autre antivirus à CrowdStrike, NinjaOne ne se dés installe pas lors du changement d’antivirus. Vous devez vous rendre sur le portail de l’antivirus pour procéder à la désinstallation. Si vous tentez d’installer CrowdStrike comme antivirus et que les terminaux associés à cette politique disposent déjà d’un antivirus, vous recevrez une activité pour ce terminal indiquant que l’installation de CrowdStrike a échoué et que vous devez désinstaller l’autre antivirus.
- Sélectionnez l’une des options situées à côté de « Installation » pour procéder à la configuration.
Figure 1 : Options d’installation de l’antivirus CrowdStrike dans NinjaOne
- Si un autre logiciel de protection antivirus est installé, notifiez et choisissez si vous souhaitez continuer l’installation ou pas d’action.
- Si l’installation de CrowdStrike échoue, réessayer : vous pouvez désactiver cette option en basculant le commutateur ou en définissant la fréquence sur « quotidien » (à une heure précise) ou « toutes les [#] heures ».
- Cliquez sur « Enregistrer ».
Lorsque vous définissez CrowdStrike comme antivirus au niveau de la politique, la fiche d’application CrowdStrike s’affiche sur le tableau de bord de l’appareil sous « Paramètres ». Cliquez sur le lien « Lien d’appareil CrowdStrike » pour sélectionner un hôte spécifique à afficher dans le panneau latéral de la console CrowdStrike.
Si vous désactivez CrowdStrike au niveau de la stratégie ou si vous modifiez la stratégie de l’appareil pour qu’elle n’utilise plus CrowdStrike, NinjaOne supprimera toutes les menaces de la section « État » de l’appareil ; toutefois, le capteur CrowdStrike Falcon ne sera pas désinstallé de ces appareils tant que vous n’aurez pas suivi les instructions de désinstallation fournies par la console du fournisseur CrowdStrike Falcon.
Si l’installation échoue, une notification s’affiche sous l’onglet « VUE D’ENSEMBLE » dans la section « État ». Cliquez sur la flèche pour utiliser l’option « Réessayer l’installation ».
Figure 2 : Réessayer une installation ayant échoué dans NinjaOne
Activer les notifications pour les activités
- Accédez à la page de configuration de la stratégie.
- Dans l’onglet « Activités » de la politique, développez la section CrowdStrike et cliquez sur n’importe laquelle des activités pour lesquelles vous souhaitez activer les notifications ou créer des tickets.
Figure 3 : Configurer les actions de notification et sur les tickets pour CrowdStrike dans NinjaOne
- Pour savoir comment configurer les champs d’activité, consultez la section Flux d’activités.
- Cliquez sur « Enregistrer » dans le coin supérieur droit de la page de la politique pour valider les modifications.
Définir les autorisations de l’utilisateur pour CrowdStrike
NinjaOne autorise automatiquement les administrateurs système à accéder à CrowdStrike. Pour autoriser d’autres techniciens et utilisateurs, suivez les étapes ci-dessous. Ressources complémentaires : Autorisations utilisateur : options d’autorisation.
- Accédez à Administration → Comptes et sélectionnez un compte ou un rôle de technicien.
- Ouvrez l'onglet Système et sélectionnez « Autorisé » pour Configurer CrowdStrike.
- Cliquez sur « Enregistrer ».
Afficher les états de santé et les journaux d’activité de CrowdStrike
Une fois que vous avez installé le capteur CrowdStrike ou que l’agent NinjaOne a détecté un capteur CrowdStrike existant, les activités de CrowdStrike Falcon s’affichent depuis le niveau de l’organisation NinjaOne jusqu’au niveau des appareils.
Les techniciens peuvent filtrer ou rechercher uniquement les événements CrowdStrike. Ces événements peuvent inclure des informations sur l’installation ou la désinstallation de l’agent, des menaces et autres. NinjaOne surveille en permanence le capteur CrowdStrike de chaque appareil au sein de chaque organisation NinjaOne où vous avez déployé CrowdStrike.
NinjaOne identifie et affiche les menaces potentielles dans la section « État de l’appareil » du tableau de bord de l’appareil. Lorsqu’une menace potentielle est détectée, NinjaOne établit un lien vers la menace dans CrowdStrike, ce qui permet aux utilisateurs de NinjaOne d’accéder rapidement à leur console CrowdStrike Falcon pour effectuer des recherches et remédier à la menace.
Figure 4 : Emplacement de l’état de santé et de l’activité de CrowdStrike dans NinjaOne
Réagir face aux menaces
Toutes les mesures de correction des menaces s’effectuent dans la console CrowdStrike Falcon.
Lorsqu’une menace potentielle est détectée, CrowdStrike fournit à NinjaOne un identifiant unique de la menace utilisé pour la correction. Cliquez sur l’état de santé dans le tableau de bord de l’appareil pour accéder à la menace sur la plateforme CrowdStrike, où vous pouvez intervenir.
Figure 5 : Remédier à une menace pour CrowdStrike depuis NinjaOne(cliquez pour agrandir)
Une fois que vous avez corrigé une menace depuis CrowdStrike avec l’un des statuts répertoriés ci-dessous, NinjaOne enregistre l’activité et supprime la menace de la section « État » de l’appareil dans l’interface utilisateur de NinjaOne.
Statuts de correction CrowdStrike :
- Vrai positif
- Faux positif
- Fermé
- Ignoré
Vous pouvez également intervenir sur une menace depuis le tableau de bord du système et/ou de l’organisation. Sélectionnez l’appareil concerné dans l’onglet Menaces des appareils du tableau de bord de l’organisation, puis cliquez sur « Remédier à la menace dans CrowdStrike » en haut de la liste. Vous ne pouvez remédier qu’à une seule menace à la fois.
Figure 6 : Remédier à la menace pour CrowdStrike depuis le tableau de bord de l’organisation NinjaOne
Filtrer les activités CrowdStrike
Les utilisateurs peuvent filtrer les journaux d’activité pour les événements CrowdStrike.
- Dans le tableau de bord de l’appareil, cliquez sur l’onglet « Activités » et sélectionnez « Tous ».
- Sélectionnez « CrowdStrike » dans le menu déroulant Types pour voir tous les événements CrowdStrike dans le menu déroulant Filtre.