Argomento
NinjaOne si integra con CrowdStrike Falcon (FalconInsight XDR e Falcon Prevent), una soluzione integrata basata su cloud che combina le funzionalità di rilevamento e risposta sugli endpoint (EDR) e di protezione degli endpoint (EPP).
Ambiente
- Integrazioni NinjaOne
- CrowdStrike
Descrizione
Avviso: CrowdStrike è stato progettato per sostituire completamente l’antivirus. NinjaOne sconsiglia di utilizzarlo con altri fornitori di soluzioni di rilevamento e risposta per endpoint. NinjaOne non disinstalla l’antivirus dai dispositivi se si disattiva CrowdStrike in NinjaOne. NinjaOne utilizza la versione generalmente disponibile del programma di installazione memorizzato nella cache del sensore CrowdStrike Falcon, poiché è nota per essere compatibile con i dispositivi. L'integrazione di NinjaOne con CrowdStrike segue le politiche del sensore CrowdStrike Falcon in modo che il sensore Falcon venga aggiornato o riportato a una versione precedente dopo l'installazione, a seconda delle impostazioni di CrowdStrike. |
Una volta attivata, l’integrazione con CrowdStrike è guidata dalle politiche all’interno di NinjaOne. NinjaOne associa automaticamente le organizzazioni ai Dynamic Host Groups di CrowdStrike (gruppi di dispositivi standard) in base ai tag di raggruppamento di Falcon.
La politica attiva l’agente di gestione del monitoraggio remoto (RMM) di NinjaOne per rilevare l’installazione esistente del sensore CrowdStrike sull’endpoint ed eseguire automaticamente l’installazione se il sensore non è presente. Se su un dispositivo è già installato CrowdStrike prima dell’attivazione dell’integrazione, l’agente NinjaOne è in grado di leggere l’ID agente esistente.
Guarda altri tutorial nella nostra libreria video.
Seleziona una categoria per saperne di più:
- Assistenza
- Prerequisiti
- Funzionalità principali
- Attiva l'integrazione con CrowdStrike
- Mappare le organizzazioni NinjaOne ai gruppi di host CrowdStrike
- Configurare gli ambiti API per il multi-tenancy
- Risorse aggiuntive
Assistenza
Falcon Sensor 7.19.18910 su Microsoft Windows e Apple macOS.
NinjaOne non supporta i token di installazione di CrowdStrike. In questo processo verranno invece utilizzati i token di accesso.
Prerequisiti
È necessario soddisfare i seguenti requisiti prima di procedere con l'integrazione:
- Disporre di una licenza CrowdStrike Falcon attiva.
- Essere in grado di generare token API (Application Programming Interface) nella console di CrowdStrike Falcon.
- Avere accesso alle applicazioni CrowdStrike: Falcon Prevent e Falcon Insight XDR (rilevamento e risposta estesi).
- Disporre di un account principale CrowdStrike (NinjaOne attualmente non monitora gli account ereditati in CrowdStrike Flight Control per le organizzazioni).
Se la propria istanza di CrowdStrike richiede l’inserimento in whitelist degli indirizzi IP (Internet Protocol), fare riferimento alle informazioni sulla whitelist globale di NinjaOne.
Caratteristiche principali
L’integrazione di CrowdStrike in NinjaOne offre i seguenti vantaggi.
- Accedere ai registri di attività dei sensori CrowdStrike nelle dashboard dell’organizzazione e dei dispositivi. Quando manca l’ambito del client API, viene restituito un registro eventi nella scheda Attività della dashboard.
- Gestire l’autenticazione dei client multi-tenant di CrowdStrike o i gruppi di host.
- Esamina i dettagli del dispositivo e la sezione relativa allo stato di integrità per individuare minacce, virus e problemi di installazione. Quando CrowdStrike rileva una minaccia su un dispositivo, NinjaOne visualizza immediatamente un avviso. Facendo clic sull’avviso in NinjaOne, il tecnico può accedere a quel dispositivo nella console di CrowdStrike per effettuare indagini e applicare misure correttive.
Attivare l’integrazione con CrowdStrike
Per attivare l’integrazione con CrowdStrike in NinjaOne, procedere come segue:
- Accedere a Amministrazione → App e fare clic su Aggiungi app. Selezionare CrowdStrike dall'elenco delle app di terze parti disponibili.
Figura 1: Aggiunta di app di terze parti in NinjaOne
Viene visualizzata la pagina delle impostazioni dell’applicazione.
- Fare clic su Abilita. Viene visualizzata la finestra di dialogo di configurazione dell'applicazione.
- Leggere attentamente i termini che descrivono il processo di migrazione nella finestra di dialogo "Configurazione di CrowdStrike", quindi selezionare la casella di controllo nella parte inferiore della pagina per attivare il pulsante "Accetta".
- Accedere a https://falcon.{domain}.crowdstrike.com/support/api-clients-and-keys (l’URL di base varia in base alla posizione geografica o alla licenza cloud) e selezionare un client API oppure crearne uno nuovo. Da questa pagina è possibile reimpostare il segreto del client se lo si è dimenticato. Inserire i dettagli richiesti per confermare il client API, quindi configurare gli ambiti API:
- A ogni client API vengono assegnati uno o più ambiti API. Gli ambiti sono autorizzazioni che specificano gli endpoint e i metodi a cui un client API può accedere. Quando si crea un client API, è possibile scegliere tra azioni di lettura e scrittura da eseguire su diversi gruppi di endpoint API. Gli ambiti impostati vengono applicati ai token di accesso generati dalle credenziali del client API e l’accesso viene concesso solo agli endpoint autorizzati per l’uso.
I client API dispongono di uno o più ambiti API. Gli ambiti consentono l’accesso a specifiche API di CrowdStrike e descrivono le azioni che un client API può eseguire. Utilizza gli ambiti per ottimizzare le autorizzazioni dei tuoi client API. I token di accesso OAuth 2.0 sono limitati alle risorse configurate nel client API.
Se un client API non dispone delle autorizzazioni minime assegnategli, l’integrazione potrebbe non funzionare. Assicurarsi almeno di assegnare i seguenti ambiti al client API. Queste autorizzazioni relative agli ambiti sono necessarie affinché l’integrazione abbia esito positivo.
Ambiti richiesti nella versione 7.0:
| Ambito | Requisito |
|---|---|
| Avvisi | Lettura |
| Host | Lettura/Scrittura |
| Gruppi di host | Lettura/Scrittura |
| Download sensori | Lettura |
- Fare clic su Abilita.
Lo stato di CrowdStrike dovrebbe ora apparire come "attivato" e "connesso"; è possibile verificare la validità delle credenziali di autenticazione utilizzate facendo clic sul pulsante "Modifica" nel widget "Impostazioni ".
Figura 2: Stato dell’integrazione di CrowdStrike in NinjaOne
Mappare le organizzazioni NinjaOne ai gruppi di host CrowdStrike
Il processo di "mappatura" associa le organizzazioni NinjaOne ai gruppi di gestione degli host di CrowdStrike, garantendo che sia impostato il gruppo di dispositivi o la policy corretta e che i report siano disponibili in NinjaOne.Questo processo è automatizzato e viene eseguito senza l'intervento dell'utente o dell'amministratore.
Quando si attiva l’integrazione con CrowdStrike in NinjaOne, i gruppi di gestione host vengono creati automaticamente in CrowdStrike per ogni organizzazione NinjaOne esistente non appena si attiva l’integrazione con CrowdStrike. La creazione di un gruppo di host in CrowdStrike non richiede l’abilitazione nella politica né la distribuzione dell’antivirus CrowdStrike. Questi nuovi gruppi dinamici di host riflettono il nome dell’organizzazione utilizzato in NinjaOne e vengono aggiornati in modo trasparente quando le organizzazioni NinjaOne vengono create o eliminate.
NinjaOne assegna un Falcon Grouping Tag (identificatore univoco) a qualsiasi dispositivo con l’agente NinjaOne e un sensore CrowdStrike installato nell’organizzazione NinjaOne. L’assegnazione dei tag consente di associare correttamente le attività e le minacce al corrispondente gruppo di host CrowdStrike.
Configurazione delle notifiche ai tecnici o dei ticket per gli errori di CrowdStrike
Se gli utenti finali riscontrano problemi legati a credenziali non valide per l’integrazione tra CrowdStrike e NinjaOne, è possibile configurare le attività di sistema in NinjaOne per inviare avvisi ai tecnici o creare ticket per la risoluzione.
Se le credenziali non valide sono il risultato di un errore 403 o 401, verrà attivata l’attività «Credenziali CrowdStrike non valide ». Tuttavia, se l’agente NinjaOne determina che l’errore 403 è stato causato dalla mancanza di un ambito del client API, attiverà l’attività «Mancanza dell’ambito del client API nell’integrazione CrowdStrike» con l’ambito del client API corrispondente nel messaggio.
Seguire le istruzioni descritte in " NinjaOne Endpoint Management: Feed di notifiche sulle attività dei dispositivi e del sistema" per configurare le attività " Credenziali CrowdStrike non valide " e " Integrazione CrowdStrike: ambito client API mancante ".
Configurazione degli ambiti API per il multi-tenancy
Se si utilizza il multi-tenancy in NinjaOne, è necessario configurare nuovi ambiti per il client API. Per ulteriori informazioni, consultare NinjaOne e CrowdStrike: Integrazione multi-tenancy.
Risorse aggiuntive
Consultare le seguenti risorse per ulteriori informazioni sull’integrazione di NinjaOne con CrowdStrike: