Skills-SIMarket
skills-si.com
Proposer une Skill
/
L’interface est localisée ; les présentations et documents des Skills sont traduits automatiquement par IA dans votre langue. Le code, les commandes, chemins et termes techniques restent en version originale, et le document de l’auteur fait foi.
Explorer les Skills
Déploiement et opérations · SKILL.md

deploying-edr-agent-with-crowdstrike

deploying-edr-agent-with-crowdstrike

在企业端点上部署和配置 CrowdStrike Falcon EDR 代理，实现实时威胁检测、行为分析和自动化响应。 适用于将端点接入 EDR 覆盖范围、配置检测策略，或将 Falcon 遥测数据与 SIEM 平台集成的场景。

Independent GitHub snapshot · Automated classification · Original documentation governs

Kkillvxk / cybersecurity-skills-zhApache-2.0

Documentation de la Skill

GitHub

name: deploying-edr-agent-with-crowdstrike description: > 在企业端点上部署和配置 CrowdStrike Falcon EDR 代理，实现实时威胁检测、行为分析和自动化响应。 适用于将端点接入 EDR 覆盖范围、配置检测策略，或将 Falcon 遥测数据与 SIEM 平台集成的场景。 domain: cybersecurity subdomain: endpoint-security tags: [endpoint, edr, CrowdStrike, Falcon, threat-detection, sensor-deployment] version: 1.0.0 author: mahipal license: Apache-2.0

使用 CrowdStrike 部署 EDR 代理

使用场景

在以下情况下使用本技能：

  • 将 CrowdStrike Falcon 传感器部署到 Windows、macOS 或 Linux 端点
  • 为不同端点组配置 Falcon 防护和检测策略
  • 将 CrowdStrike 遥测数据与 SIEM（Splunk、Elastic、Sentinel）集成以进行关联检测
  • 排查传感器连接、性能或检测问题

不适用于部署其他 EDR 解决方案（Carbon Black、SentinelOne）或 Falcon 云工作负载防护（使用专用云部署指南）。

前置条件

  • 具有 Falcon 管理员角色的 CrowdStrike Falcon 控制台访问权限
  • 客户 ID（CID）和 Falcon 传感器安装包
  • 目标端点的管理员/root 访问权限
  • 网络访问：端点必须能访问 CrowdStrike 云（ts01-b.cloudsink.net 的 443 端口）
  • 部署工具：SCCM、Intune、GPO、Ansible 或手动安装

操作流程

步骤 1：获取 Falcon 传感器安装包和 CID

1. 登录 Falcon 控制台：https://falcon.crowdstrike.com
2. 导航：主机设置和管理 → 传感器下载
3. 下载对应的安装包：
   - Windows：WindowsSensor_<版本>.exe
   - macOS：FalconSensorMacOS_<版本>.pkg
   - Linux：falcon-sensor_<版本>_amd64.deb / .rpm
4. 从传感器下载页面复制客户 ID（CID）
   - CID 格式：<32位十六进制>-<2位校验码>

步骤 2：部署 Falcon 传感器 - Windows

通过命令行静默安装：

WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<YOUR_CID>

SCCM 部署：

1. 在 SCCM 中创建应用程序
2. 部署类型：脚本安装程序
3. 安装命令：WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
4. 检测方法：注册表项存在
   - HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default
5. 部署到目标集合
6. 部署目的：必需（强制安装）

Microsoft Intune 部署：

1. 导航：设备 → Windows → 配置文件
2. 创建 Win32 应用部署
3. 上传 .intunewin 包（封装后的传感器安装包）
4. 安装命令：WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
5. 检测规则：文件存在 C:\Windows\System32\drivers\CrowdStrike\csagent.sys
6. 分配给设备组

GPO 部署：

# 创建启动脚本，检查是否已安装
$sensorPath = "C:\Windows\System32\drivers\CrowdStrike\csagent.sys"
if (-not (Test-Path $sensorPath)) {
    Start-Process -FilePath "\\fileserver\CrowdStrike\WindowsSensor.exe" `
      -ArgumentList "/install /quiet /norestart CID=<CID>" -Wait
}

步骤 3：部署 Falcon 传感器 - Linux

# Debian/Ubuntu
sudo dpkg -i falcon-sensor_7.18.0-17106_amd64.deb
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# RHEL/CentOS
sudo yum install falcon-sensor-7.18.0-17106.el8.x86_64.rpm
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# 验证传感器正在运行并已连接
sudo /opt/CrowdStrike/falconctl -g --rfm-state
# 预期输出：rfm-state=false（传感器正在与云通信）

步骤 4：部署 Falcon 传感器 - macOS

# 安装传感器包
sudo installer -pkg FalconSensorMacOS_7.18.pkg -target /

# 设置 CID
sudo /Applications/Falcon.app/Contents/Resources/falconctl license <YOUR_CID>

# 通过 MDM 配置文件授予完整磁盘访问和系统扩展权限
# macOS Ventura+ 必须（手动批准或 MDM PPPC 配置文件）
# MDM 载荷：com.crowdstrike.falcon.Agent → SystemExtension + Full Disk Access

# 验证传感器状态
sudo /Applications/Falcon.app/Contents/Resources/falconctl stats

步骤 5：配置防护策略

在 Falcon 控制台中，导航至配置 → 防护策略：

推荐的防护策略设置：

机器学习：
  - 云端 ML：激进（额外防护，可能增加误报）
  - 传感器 ML：适中
  - 广告软件和 PUP：适中

行为保护：
  - 写入时检测：已启用（在文件创建时检测恶意软件）
  - 传感器 ML 检测：已启用
  - 仅解释器：已启用（检测基于脚本的攻击）

漏洞利用缓解：
  - 漏洞利用行为防护：已启用
  - 内存扫描：已启用（检测内存中的攻击）
  - 代码注入：已启用

勒索软件：
  - 勒索软件防护：已启用
  - 卷影副本保护：已启用
  - MBR 保护：已启用

为以下群组创建独立策略：

  • 工作站（激进设置）
  • 服务器（适中设置以避免服务器工作负载的误报）
  • 关键基础设施（最高防护，配合例外列表）

步骤 6：配置响应策略

实时响应（RTR）：
  - 为所有传感器组启用 RTR
  - 配置 RTR 管理员和 RTR 响应者角色
  - 启用脚本执行（供 IR 团队使用）
  - 启用文件提取（用于取证）

网络隔离：
  - 为特定主机组预授权隔离操作
  - 配置隔离排除项（允许管理流量）

自动响应：
  - 对高可信度检测启用自动修复
  - 配置勒索软件检测的终止进程操作
  - 对恶意软件文件检测启用隔离

步骤 7：验证部署

# Windows：检查 Falcon 传感器状态
sc query csagent
# 预期：RUNNING

# 检查传感器版本
reg query "HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default" /v AgentVersion

# 验证云连接
# 在 Falcon 控制台：主机管理 → 主机 → 搜索主机名
# 状态应显示"在线"且最后访问时间戳 < 5 分钟

测试检测能力：

# CrowdStrike 提供测试检测样本
# 从 Falcon 控制台 → 主机设置下载 CsTestDetect.exe
# 在端点上运行以生成测试检测
.\CsTestDetect.exe
# 验证检测在 60 秒内出现在 Falcon 控制台

步骤 8：SIEM 集成

# Falcon SIEM 连接器（流式 API）
# 在 Falcon 控制台配置：支持 → API 客户端和密钥

# 创建权限范围为：事件流 → 读取 的 API 客户端
# 使用 falcon-siem-connector 或 Falcon 数据复制器（FDR）

# Splunk 集成：
# 从 Splunkbase 安装 CrowdStrike Falcon 事件流技术附加组件
# 配置：设置 → 数据输入 → CrowdStrike Falcon 事件流
# 输入 API 客户端 ID 和密钥
# 索引：crowdstrike_events

# Elastic 集成：
# 使用带 CrowdStrike 模块的 Elastic Agent
# 配置：Fleet → 代理策略 → 添加集成 → CrowdStrike

关键概念

术语定义
Falcon 传感器轻量级内核模式代理（25-30 MB），收集端点遥测数据并执行防护策略
CID（客户 ID）将传感器与 CrowdStrike Falcon 租户关联的唯一标识符
RFM（降级功能模式）因云连接丢失导致传感器以有限能力运行的状态
传感器分组标签安装时应用的标签，用于自动将主机分配到组和策略
RTR（实时响应）允许事件响应人员通过 Falcon 与端点交互的远程 Shell 能力
IOA（攻击指标）基于攻击者技术而非静态特征的行为检测

工具与系统

  • CrowdStrike Falcon 控制台：托管所有 Falcon 模块的云端管理平台
  • Falcon SIEM 连接器：将检测和审计事件流式传输到 SIEM 平台
  • Falcon 数据复制器（FDR）：将原始端点遥测数据流式传输到 S3/云存储供威胁狩猎使用
  • CrowdStrike Falcon API（OAuth2）：用于自动化、集成和自定义工作流的 RESTful API
  • PSFalcon：用于 CrowdStrike Falcon API 自动化的 PowerShell 模块

常见误区

  • 安装时缺少 CID：传感器安装了但从未连接到 Falcon 云。务必在安装时传入 CID，而不是事后配置。
  • 未配置代理：在有 Web 代理的环境中，需在安装时配置代理：/install /quiet CID=<CID> APP_PROXYNAME=proxy.corp.com APP_PROXYPORT=8080。
  • macOS 系统扩展被阻止：macOS 需要明确批准内核/系统扩展。部署前使用 MDM 预先批准 CrowdStrike 扩展。
  • 安全产品冲突：同时运行多个 EDR/AV 产品会导致性能问题和误报。在 Falcon 部署前协调排除项或卸载旧版 AV。
  • 传感器版本固定：Falcon 默认自动更新传感器。对于受变更控制的环境，在测试新版本前在控制台中固定传感器版本。

More skills to explore

Voir toutes les Skills
Skills enregistrées