Argomento
NinjaOne si integra con CrowdStrike Falcon (FalconInsight XDR e Falcon Prevent), una soluzione integrata basata su cloud che combina funzionalità di rilevamento e risposta degli endpoint (EDR) e protezione degli endpoint (EPP).
Ambiente
- Integrazioni di NinjaOne
- CrowdStrike
Descrizione
Una volta attivata, l’integrazione con CrowdStrike è gestita tramite policy direttamente da NinjaOne. NinjaOne associa automaticamente le organizzazioni ai Dynamic Host Groups di CrowdStrike (gruppi di dispositivi standard) in base ai tag di raggruppamento di Falcon.
La politica attiva l'agente di monitoraggio e gestione remota (RMM) di NinjaOne per rilevare l'installazione esistente del sensore CrowdStrike sull'endpoint e installarlo automaticamente se il sensore non è presente. Se su un dispositivo è già installato CrowdStrike prima dell'attivazione dell'integrazione, l'agente NinjaOne è in grado di leggere l'ID dell'agente esistente.
Guarda altri tutorial nella nostra libreria video.
Seleziona una categoria per ulteriori informazioni:
- Prima di iniziare
- Prerequisiti
- Funzionalità principali
- Attiva l'integrazione con CrowdStrike
- Mappare le organizzazioni NinjaOne ai gruppi di host CrowdStrike
- Configurare gli ambiti API per il multi-tenancy
- Risorse aggiuntive
Prima di iniziare
Quando si implementa l’integrazione con CrowdStrike Falcon, è importante tenere presenti le seguenti informazioni:
- La versione disponibile di Falcon Sensor è la 7.19.18910 su Microsoft Windows e Apple macOS.
- NinjaOne non supporta i token di installazione di CrowdStrike. In questo processo verranno invece utilizzati i token di accesso.
- NinjaOne non disinstalla l'antivirus dai dispositivi se si disattiva CrowdStrike in NinjaOne.
- NinjaOne utilizza la versione generalmente disponibile del programma di installazione memorizzato nella cache di CrowdStrike Falcon Sensor, poiché è nota per essere compatibile con i dispositivi. L’integrazione di NinjaOne con CrowdStrike segue le politiche di CrowdStrike Falcon Sensor, pertanto il Falcon Sensor verrà aggiornato o riportato a una versione precedente dopo l’installazione, a seconda delle impostazioni di CrowdStrike.
Prerequisiti
È necessario soddisfare i seguenti requisiti prima di procedere con l’integrazione:
- Disporre di una licenza CrowdStrike Falcon valida.
- Essere in grado di generare token API (Application Programming Interface) nella console di CrowdStrike Falcon.
- Avere accesso alle applicazioni CrowdStrike: Falcon Prevent e Falcon Insight XDR (rilevamento e risposta estesi).
- Disporre di un account principale CrowdStrike (NinjaOne attualmente non monitora gli account ereditati in CrowdStrike Flight Control per le organizzazioni).
Se la propria istanza di CrowdStrike richiede l’inserimento di indirizzi IP (Internet Protocol) nell’elenco degli elementi consentiti, consultare le informazioni sull’elenco degli elementi consentiti globale di NinjaOne.
Funzionalità principali
L’integrazione di CrowdStrike in NinjaOne offre i seguenti vantaggi.
- Accedere ai log attività dei sensori CrowdStrike nelle dashboard dell’organizzazione e dei dispositivi. Quando manca l’ambito di applicazione del client API di CrowdStrike, viene visualizzato un registro degli eventi nella scheda Attività della dashboard.
- Gestire l’autenticazione client multi-tenant di CrowdStrike o i gruppi di host.
- Esamina i dettagli del dispositivo e la sezione relativa allo stato di integrità per individuare minacce, virus e problemi di installazione. Quando CrowdStrike rileva una minaccia su un dispositivo, NinjaOne visualizza immediatamente un avviso. Facendo clic sull’avviso in NinjaOne, il tecnico può accedere a quel dispositivo nella console di CrowdStrike per effettuare indagini e interventi correttivi.
Attivare l’integrazione con CrowdStrike
Per attivare l’integrazione con CrowdStrike in NinjaOne, procedere come segue:
- Accedere a Amministrazione → App e fare clic su Aggiungi app. Selezionare CrowdStrike dall’elenco delle app di terze parti disponibili.
Figura 1: Aggiunta di app di terze parti in NinjaOne
Viene visualizzata la pagina delle impostazioni dell’applicazione.
- Fare clic su Abilita. Viene visualizzata la finestra di dialogo di configurazione dell’applicazione.
- Leggi attentamente i termini che descrivono il processo di migrazione nella finestra di dialogo "Configurazione di CrowdStrike", quindi seleziona la casella di controllo nella parte inferiore della pagina per attivare il pulsante "Accetta".
- Accedere a https://falcon.{domain}.crowdstrike.com/support/api-clients-and-keys (l’URL di base varia in base alla posizione geografica o alla licenza cloud) e selezionare un client API oppure crearne uno nuovo/a. Da questa pagina è possibile reimpostare il Segreto del client se lo si è dimenticato. Inserire i dettagli richiesti per effettuare la conferma del client API, quindi configurare gli ambiti API:
- A ogni client API vengono assegnati uno o più ambiti API. Gli ambiti sono autorizzazioni che specificano gli endpoint e i metodi a cui un client API può accedere. Quando si crea un client API, è possibile scegliere tra azioni di lettura e scrittura eseguibili su diversi gruppi di endpoint API. Gli ambiti impostati vengono applicati ai token di accesso generati dalle credenziali del client API e l’accesso viene concesso solo agli endpoint autorizzati all’uso.
I client API dispongono di uno o più ambiti API. Gli ambiti consentono l’accesso a specifiche API di CrowdStrike e descrivono le azioni che un client API può eseguire. Utilizza gli ambiti per ottimizzare le autorizzazioni dei tuoi client API. I token di accesso OAuth 2.0 hanno un ambito limitato alle risorse configurate nel client API.
Se un client API non dispone delle autorizzazioni minime a cui è assegnato, l’integrazione potrebbe non funzionare. Assicurarsi almeno di assegnare i seguenti ambiti al client API. Queste autorizzazioni relative agli ambiti sono necessarie affinché l’integrazione abbia esito positivo.
Ambiti obbligatori nella versione 7.0:
| Ambito | Requisito |
|---|---|
| Avvisi | Lettura |
| Host | Di lettura/scrittura |
| Gruppi di host | Di lettura/scrittura |
| Scarica sensori | Lettura |
- Fare clic su Abilita.
Lo stato di CrowdStrike dovrebbe ora apparire come "attivato" e "connesso"; è possibile verificare la validità delle credenziali di autenticazione utilizzate facendo clic sul pulsante "Modifica" nel widget "Impostazioni ".
Figura 2: Stato dell’integrazione di CrowdStrike in NinjaOne
Mappare le organizzazioni NinjaOne ai gruppi di host CrowdStrike
Il processo di "mappatura" associa le organizzazioni NinjaOne ai gruppi di gestione degli host di CrowdStrike, garantendo che sia impostato il Gruppo del dispositivo o la politica corretta e che la reportistica sia disponibile in NinjaOne.Questo processo è automatizzato e viene eseguito senza l’intervento dell’utente o dell’amministratore.
Quando si attiva l’integrazione con CrowdStrike in NinjaOne, i gruppi di gestione host vengono creati automaticamente in CrowdStrike per ogni organizzazione NinjaOne esistente non appena si attiva l’integrazione con CrowdStrike. La creazione di un gruppo di host in CrowdStrike non richiede l’abilitazione nella politica né la distribuzione dell’antivirus CrowdStrike. Questi nuovi gruppi dinamici di host riflettono il nome dell’organizzazione utilizzato in NinjaOne e vengono aggiornati in modo trasparente quando le organizzazioni NinjaOne vengono create o eliminate.
NinjaOne assegna un Falcon Grouping Tag (identificatore univoco) a qualsiasi dispositivo con l’agente NinjaOne e un sensore CrowdStrike installati nell’organizzazione NinjaOne. L’assegnazione del tag consente di associare correttamente le attività e le minacce al corrispondente gruppo di host CrowdStrike.
Configurazione delle notifiche ai tecnici o dei ticket per gli errori di CrowdStrike
Se gli utenti finali riscontrano problemi legati a credenziali non valide per l’integrazione tra CrowdStrike e NinjaOne, è possibile configurare le attività di sistema in NinjaOne per inviare avvisi ai tecnici o creare ticket per la risoluzione.
Se le credenziali non valide sono il risultato di un errore 403 o 401, verrà attivata l’attività «Credenziali CrowdStrike non valide ». Tuttavia, se l’agente NinjaOne determina che l’errore 403 è stato causato dalla mancanza dell’ambito di applicazione del client API, attiverà l’attività «Integrazione CrowdStrike: Ambito di applicazione del client API mancante» con l’ambito di applicazione del client API corrispondente nel messaggio.
Seguire le istruzioni descritte in " NinjaOne Endpoint Management: Feed di notifica delle attività dei dispositivi e del sistema" per configurare le attività " Credenziali CrowdStrike non valide " e " Integrazione CrowdStrike: ambito client API mancante ".
Configurazione degli ambiti API per il multi-tenancy
Se si utilizza il multi-tenancy in NinjaOne, è necessario configurare nuovi ambiti per il client API. Per scoprire di più, consultare NinjaOne e CrowdStrike: Integrazione multi-tenancy.
Risorse aggiuntive
Consulta le seguenti risorse per ulteriori informazioni sull’integrazione di NinjaOne con CrowdStrike: