Sujet
NinjaOne s'intègre à CrowdStrike Falcon (FalconInsight XDR et Falcon Prevent), une solution intégrée basée sur le cloud combinant détection et réponse sur les terminaux (EDR) et protection des terminaux (EPP).
Environnement
- Intégrations NinjaOne
- CrowdStrike
Description
Avertissement : CrowdStrike a été conçu pour remplacer entièrement un antivirus. NinjaOne ne recommande pas de l’utiliser avec d’autres fournisseurs de solutions de détection et de réponse sur les terminaux. NinjaOne ne désinstalle pas l'antivirus des appareils si vous désactivez CrowdStrike dans NinjaOne. NinjaOne utilise la version généralement disponible du programme d’installation mis en cache du capteur Falcon de CrowdStrike, car elle est reconnue pour être compatible avec les appareils. L’intégration NinjaOne-CrowdStrike suit les politiques du capteur Falcon de CrowdStrike, de sorte que le capteur Falcon sera mis à niveau ou rétrogradé après l’installation, en fonction de vos paramètres CrowdStrike. |
Une fois activée, l’intégration CrowdStrike est pilotée par des politiques depuis NinjaOne. NinjaOne associe automatiquement les organisations aux groupes d’hôtes dynamiques CrowdStrike (groupes d’appareils standard) en fonction des balises de regroupement Falcon.
La politique déclenche l’agent de gestion de la surveillance à distance (RMM) de NinjaOne pour détecter l’installation existante du capteur CrowdStrike sur le terminal et effectuer automatiquement l’installation si le capteur n’est pas présent. Si CrowdStrike est déjà installé sur un appareil avant que vous n’activiez l’intégration, l’agent NinjaOne peut lire l’ID d’agent existant.
Consultez d’autres tutoriels dans notre vidéothèque.
Sélectionnez une catégorie pour en savoir plus :
- Assistance
- Prérequis
- Fonctionnalités principales
- Activer l'intégration CrowdStrike
- Mapper les organisations NinjaOne aux groupes d’hôtes CrowdStrike
- Configurer les portées de l’API pour la multi-location
- Ressources supplémentaires
Assistance
Falcon Sensor 7.19.18910 sous Microsoft Windows et Apple macOS.
NinjaOne ne prend pas en charge les jetons d’installation CrowdStrike. Ce processus utilise à la place des jetons d’accès.
Prérequis
Vous devez remplir les conditions suivantes avant de procéder à l'intégration :
- Disposer d’une licence CrowdStrike Falcon valide.
- Être en mesure de générer des jetons d'interface de programmation d'application (API) dans la console CrowdStrike Falcon.
- Avoir accès aux applications CrowdStrike : Falcon Prevent et Falcon Insight XDR (détection et réponse étendues).
- Disposer d’un compte parent CrowdStrike (NinjaOne ne surveille pas actuellement les comptes hérités dans CrowdStrike Flight Control pour les organisations).
Si votre instance CrowdStrike nécessite la mise en liste blanche d’adresses IP (Internet Protocol), consultez les informations relatives à la liste blanche globale de NinjaOne.
Principales fonctionnalités
L’intégration de CrowdStrike dans NinjaOne offre les avantages suivants.
- Accédez aux journaux d’activité des capteurs CrowdStrike sur les tableaux de bord de l’organisation et des appareils. Lorsque la portée du client API est manquante, un journal d’événements s’affiche dans l’onglet Activités du tableau de bord.
- Gérez l’authentification des clients multi-locataires CrowdStrike ou les groupes d’hôtes.
- Consultez les détails des appareils et la section « État de santé » pour détecter les menaces, les virus et les problèmes d’installation. Lorsque CrowdStrike détecte une menace sur un appareil, NinjaOne affiche immédiatement une alerte. En cliquant sur l’alerte dans NinjaOne, le technicien peut accéder à cet appareil dans la console CrowdStrike pour mener une enquête et appliquer des mesures correctives.
Activer l’intégration CrowdStrike
Pour activer l’intégration CrowdStrike dans NinjaOne, procédez comme suit :
- Accédez à Administration → Applications, puis cliquez sur Ajouter des applications. Sélectionnez CrowdStrike dans la liste des applications tierces disponibles.
Figure 1: Ajouter des applications tierces dans NinjaOne
La page des paramètres de l’application s’affiche.
- Cliquez sur « Activer ». La boîte de dialogue de configuration de l’application s’affiche.
- Lisez attentivement les conditions décrivant le processus de migration dans la boîte de dialogue de configuration de CrowdStrike, puis cochez la case en bas de la page pour activer le bouton Accepter.
- Accédez à https://falcon.{domain}.crowdstrike.com/support/api-clients-and-keys (l’URL de base varie en fonction de la localisation géographique ou de la licence cloud) et sélectionnez un client API ou créez-en un nouveau. Vous pouvez réinitialiser votre secret client depuis cette page si vous l’avez oublié. Saisissez les informations requises pour valider votre client API, puis configurez vos périmètres d’API :
- Chaque client API se voit attribuer un ou plusieurs périmètres d’API. Les périmètres sont des autorisations qui spécifient les points de terminaison et les méthodes auxquels un client API peut accéder. Lors de la création d’un client API, choisissez parmi les actions de lecture et d’écriture que vous pouvez exécuter sur différents groupes de points de terminaison API. Les périmètres que vous définissez s’appliquent aux jetons d’accès générés par les identifiants du client API, et l’accès n’est accordé qu’aux points de terminaison dont l’utilisation est autorisée.
Les clients API disposent d’un ou plusieurs champs d’application. Les champs d’application permettent d’accéder à des API CrowdStrike spécifiques et décrivent les actions qu’un client API peut effectuer. Utilisez les champs d’application pour affiner les autorisations de vos clients API. Les jetons d’accès OAuth 2.0 s’appliquent aux ressources configurées dans le client API.
Si un client API ne dispose pas des autorisations minimales qui lui sont attribuées, l’intégration risque de ne pas fonctionner. Veillez au minimum à attribuer les champs d’application suivants au client API. Ces autorisations sont nécessaires pour que l’intégration aboutisse.
Portées requises pour la version 7.0 :
| Portée | Exigence |
|---|---|
| Alertes | Lecture |
| Hôtes | Lecture/Écriture |
| Groupes d'hôtes | Lecture/Écriture |
| Téléchargement des capteurs | Lecture |
- Cliquez sur « Activer ».
Le statut de votre CrowdStrike devrait désormais indiquer « activé » et « connecté » ; vous pouvez vérifier si les identifiants d’authentification utilisés sont valides en cliquant sur le bouton « Modifier » dans le widget « Paramètres ».
Figure 2: État de l'intégration CrowdStrike dans NinjaOne
Mapper les organisations NinjaOne aux groupes d’hôtes CrowdStrike
Le processus de « mappage » associe les organisations NinjaOne aux groupes de gestion d’hôtes CrowdStrike, garantissant ainsi que le groupe de périphériques ou la politique approprié(e) est défini(e) et que les rapports sont disponibles dans NinjaOne.Ce processus est automatisé et s’effectue sans intervention de l’utilisateur ou de l’administrateur.
Lorsque vous activez l’intégration CrowdStrike dans NinjaOne, des groupes de gestion d’hôtes sont automatiquement créés dans CrowdStrike pour chaque organisation NinjaOne existante dès l’activation de l’intégration CrowdStrike. La création d’un groupe d’hôtes dans CrowdStrike ne nécessite pas de l’activer dans la politique ni de déployer l’antivirus CrowdStrike. Ces nouveaux groupes d’hôtes dynamiques reflètent le nom de l’organisation utilisé dans NinjaOne et sont mis à jour de manière transparente lorsque des organisations NinjaOne sont créées ou supprimées.
NinjaOne attribue une balise de regroupement Falcon (identifiant unique) à tout appareil sur lequel l’agent NinjaOne et un capteur CrowdStrike sont installés au sein de l’organisation NinjaOne. Ce balisage permet d’associer correctement les activités et les menaces au groupe d’hôtes CrowdStrike correspondant.
Configurer les notifications aux techniciens ou les tickets pour les erreurs CrowdStrike
Si vos utilisateurs finaux rencontrent des problèmes liés à des identifiants non valides pour l’intégration entre CrowdStrike et NinjaOne, vous pouvez configurer des activités système dans NinjaOne afin d’envoyer des alertes aux techniciens ou de créer des tickets en vue de la résolution du problème.
Si les identifiants non valides résultent d’une erreur 403 ou 401, cela déclenchera l’activité « Identifiants CrowdStrike non valides ». Toutefois, si l’agent NinjaOne détermine que l’erreur 403 a été causée par l’absence d’une portée de client API, il déclenchera l’activité « Portée de client API manquante dans l’intégration CrowdStrike », avec la portée de client API correspondante indiquée dans le message.
Suivez les instructions décrites dans la section « NinjaOne Endpoint Management : flux de notifications sur les activités des appareils et du système » pour configurer les activités « Identifiants CrowdStrike non valides » et « Intégration CrowdStrike : portée client API manquante ».
Configurer les portées API pour la multi-location
Si vous utilisez la multi-location dans NinjaOne, vous devez configurer de nouvelles portées pour le client API. Pour en savoir plus, consultez la section « NinjaOne et CrowdStrike : intégration multi-location ».
Ressources supplémentaires
Consultez les ressources suivantes pour en savoir plus sur l’intégration de NinjaOne avec CrowdStrike :