1. Thành phần của pack

2. Phạm vi thu thập: vì sao chỉ có hai luồng

Pack thu thập Alerts và Host inventory. Quyết định này dựa trên kết quả probe trên tenant thực tế, không phải dựa trên danh mục API.

Unified Alerts v2 chính là luồng hợp nhất do CrowdStrike gộp Endpoint Protection, NGAV, on-demand scan, Identity Protection và Cloud detection vào một feed duy nhất, nên đã bao phủ toàn bộ những gì Detects API cũ trả về. Việc đóng gói thêm Incidents mà không thể test trên tenant thực đồng nghĩa với đưa code chưa kiểm chứng đến khách hàng, nên được ghi nhận vào roadmap.

3. Điều kiện tiên quyết

3.1 Tạo API client trên Falcon console

1. Falcon console → Support and resources → API clients and keys.
2. Add new API client.
3. Đặt tên, ví dụ CMC SecOps SIEM.
4. Cấp các scope sau, chỉ quyền Read:

   Scope	Dùng cho
   Alerts	luồng alert
   Hosts	luồng host inventory

5. Lưu lại. Console chỉ hiển thị client secret duy nhất một lần — sao chép ngay.
6. Ghi lại Base URL hiển thị trên cùng màn hình, đây là cloud region của bạn.

3.2 Base URL theo region

Nếu chưa rõ region, gọi /oauth2/token tới bất kỳ base URL nào rồi đọc response header X-Cs-Region.

Credential của Falcon API client không hết hạn, khác với token của user console.

4. Cấu hình connector

Cài pack từ Marketplace, sau đó vào Data Collection → Data Connectors → Add Connection → chọn connector type crowdstrike và điền các trường bên dưới.

4.1 Kiểu dữ liệu rất quan trọng khi cấu hình qua API

Log-source validator của platform chỉ chấp nhận ba kiểu config_schema: string, password và int. Vì vậy ba trường mang nghĩa boolean được khai báo là string và do connector tự ép kiểu — chấp nhận true, 1, yes, on, enabled (không phân biệt hoa thường) và coi giá trị rỗng là default đã khai báo.

Khi đẩy cấu hình qua API thay vì qua console, gửi các trường này dưới dạng JSON string, còn trường số thì dưới dạng JSON number:

{
  "type": "crowdstrike",
  "base_url": "https://api.us-2.crowdstrike.com",
  "client_id": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "client_secret": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "collect_alerts": "true",
  "collect_hosts": "false",
  "page_size": 500,
  "lookback_hours": 24,
  "time_interval": 5
}

4.2 Cảnh báo volume của host inventory

collect_hosts mặc định tắt có chủ đích. Luồng host trả về một record cho mỗi endpoint có check-in kể từ lần poll trước, nên với fleet 5.000 endpoint poll mỗi 5 phút, luồng này sẽ chiếm phần lớn EPS. Chỉ bật khi bạn cần rule sensor-health và panel sensor health trên dashboard, và nên nâng time_interval lên 60 cho trường hợp này.

4.3 Thu hẹp luồng alert ngay tại nguồn

alert_filter nhận mọi biểu thức FQL bổ sung của Falcon, được áp dụng phía server trước khi truyền dữ liệu. Một số ví dụ hữu ích:

5. Connector hoạt động như thế nào

1. Xác thực. POST /oauth2/token với client ID và secret dạng form-encoded. Falcon trả về bearer token có hiệu lực 1799 giây. Connector làm mới token sớm 60 giây để một lần poll dài không rơi vào thời điểm hết hạn.
2. Query. Endpoint FQL query trả về danh sách ID, phân trang theo offset cho đến khi đủ tổng số mà API báo.
3. Resolve. Các ID được POST tới entity endpoint theo lô 100 để lấy record đầy đủ.
4. Watermark. Mỗi stream giữ cursor riêng — created_timestamp cho alert, last_seen cho host — nên bật stream này không ảnh hưởng stream kia. Falcon trả về độ chính xác nanosecond nhưng FQL chỉ nhận đến giây, nên cursor bị cắt xuống mức giây; phần replay nhỏ trong cùng một giây được idempotency key hấp thụ.
5. Tag. Mỗi record được gắn _log_type là alert hoặc host trước khi chuyển cho parser.

6. Hành vi của parser

Parser rẽ nhánh theo _log_type, có fallback nhận diện theo cấu trúc (có composite_id là alert, có device_id là host) để vẫn chạy đúng khi record được replay mà không có tag.

6.1 Prevention outcome — field dẫn xuất quan trọng nhất

Falcon chỉ ghi nhận hành động thực tế của sensor trong pattern_disposition_description — một chuỗi free-text. Parser rút gọn nó thành một event.action duy nhất để rule và dashboard có thể pivot:

Thứ tự rẽ nhánh là có chủ đích. Các câu mô tả trường hợp không bị chặn cũng nhắc đến "prevention" — ví dụ "process would have been killed if the prevention policy had been enabled" — nên nếu kiểm tra "prevention" trước thì một threat không bị chặn sẽ bị gán nhãn là đã prevented — ngược hoàn toàn với sự thật. Các trường hợp phủ định vì vậy được đối chiếu trước.

6.2 Severity

severity được dùng trực tiếp (Falcon đã chấm điểm 0–100), fallback sang priority_value. Nhãn lấy từ severity_name, hoặc suy ra theo ngưỡng 90/70/50 khi Falcon không trả về. Những alert Falcon không chấm điểm được gán mức nền 21 / low thay vì 0 / để trống, để chúng vẫn nằm trong bộ lọc severity và biểu đồ tròn thay vì biến mất âm thầm khỏi mọi chart.

6.3 Ánh xạ field

Dữ liệu MITRE được mang trong threat.category / threat.rule / labels vì Field Standard không có field threat.tactic.* hay threat.technique.*.

threat.type chứa behavioural scenario của Falcon (ransomware, evade_detection, suspicious_activity, NGAV, attacker_methodology, user_compromise) khi Falcon có gán, nếu không thì fallback sang attack technique. Cả hai đều là phân loại theo hành vi — đúng với định nghĩa threat.type trong Field Standard. Scenario bắt buộc phải nằm ở một field first-class chứ không phải trong labels, vì rule sandbox từ chối labels.* trong selection — rule viết dựa trên labels.scenario sẽ lỗi invalid sandbox input: field 'labels.scenario' ... does not exist or is not allowed. Mọi thứ detection rule cần đối chiếu đều phải được đưa ra khỏi labels.

Các thuộc tính riêng của Falcon không có chỗ trong Field Standard được giữ lại dưới labels: objective, scenario, pattern_disposition, prevention_policy, local_prevalence, global_prevalence, falcon_link, cid, aggregate_id, external_ip, site_name, cùng các thuộc tính host reduced_functionality_mode, rtr_state, kernel_version, serial_number, criticality và một số field khác.

6.4 Host event

Giá trị bình thường là sensor_checkin chứ không phải host_checkin, vì rule sensor-health đối chiếu theo tiền tố host_ để bắt mọi trạng thái bất thường mà CrowdStrike có thể bổ sung sau này. Một lần check-in khỏe mạnh phải nằm ngoài tiền tố đó.

7. Detection Rules

7.1 Streaming

crowdstrike-threat-not-blocked là rule có giá trị cao nhất trong pack. Falcon đã xác định chính xác threat nên không còn mơ hồ về verdict, nhưng tiến trình độc hại vẫn chạy đến cùng do một lỗ hổng cấu hình policy — và lỗ hổng đó sẽ tiếp tục cho threat kế tiếp đi qua. Rule này vừa kích hoạt hành động incident response, vừa sinh ticket chỉnh cấu hình.

7.2 Correlation

8. Dashboard và report

Overview dashboard gồm alert volume theo phản ứng của sensor, 4 chỉ số chính (tổng số, high severity, not blocked, prevented), phân bố MITRE tactic và sensor response, top endpoint / detection / technique, bảng thời gian thực các threat không bị chặn, và bảng sensor health.

Security report bổ sung phân bố severity, số endpoint bị ảnh hưởng (distinct) và mapping control PCI DSS / ISO 27001, phục vụ rà soát endpoint protection định kỳ hàng tháng và tinh chỉnh prevention policy.

Cả hai đều dùng event.outcome = failure làm bộ lọc duy nhất cho "not blocked", vì parser gán giá trị này cho cả hai biến thể không bị chặn.

9. Kiểm thử

Tài sản test nằm ở thư mục ngang hàng cmc-crowdstrike-security-pack-tests/, bên ngoài pack, vì publisher từ chối mọi thư mục ở gốc pack không thuộc cấu trúc cho phép.

# 1. Connector unit tests (33 tests: OAuth2 lifecycle, paging, watermark, config coercion)
cd cmc-crowdstrike-security-pack-tests/connector && python3 -m pytest . -q

# 2. Parser against fixtures, via the Vector VRL CLI in Docker
cd cmc-crowdstrike-security-pack-tests && ./parser/run_parser_test.sh

# 3. Detection rule logic, using the normalized output of step 2 as fixtures
python3 test_crowdstrike_rules.py

# 4. Structural validation of every YAML/JSON artifact, plus parser copy sync
./parser/validate_pack.sh

# 5. Strip indented comments from the parser and re-sync the connector copy
./parser/strip_inline_comments.sh

Fixture trong parser/raw/ là dữ liệu tổng hợp nhưng trung thực về cấu trúc so với record Falcon thực tế, bao phủ các nhánh prevented, policy-disabled, detect-only, alert không được chấm điểm, cùng một host khỏe mạnh và một host ở trạng thái RFM.

10. Lưu ý vận hành

• Connector mang theo bản sao parser của riêng nó tại connectors/crowdstrike/parser.yaml và không có cơ chế tự đồng bộ. Sau mỗi lần sửa parsers/crowdstrike-parser.yaml, phải copy sang. validate_pack.sh kiểm tra hai file giống nhau từng byte.
• Tuyệt đối không đặt comment trong thân parser. Parser loader của platform coi mọi dòng có ký tự khác khoảng trắng đầu tiên là # là ranh giới block, nên một comment thụt lề sẽ âm thầm cắt cụt block #conditional và đẩy lên một chương trình thiếu dấu ngoặc. Lỗi này vẫn qua được validate và chỉ lộ ra ở bước test với thông báo khó hiểu E204 syntax error ... unexpected end of program, trỏ vào một dòng do server tự thêm. Hãy chạy strip_inline_comments.sh trước khi publish; phần giải thích logic nên đặt trong tài liệu này.
• labels.* không dùng được trong selection của detection rule. Mọi field mà rule cần đối chiếu phải được đưa lên field chuẩn của Field Standard.
• Chỉ string, password và int là kiểu config_schema hợp lệ. ccsp-client validate, test và publish đều PASS dù kiểu sai; lỗi chỉ xuất hiện khi người dùng lưu log source, dưới dạng failed to validate log source structure: invalid type for field: <key>.
• Parser bị giới hạn trong allowlist VRL phía server. filter, join, strip_whitespace và ip_cidr_contains đều bị từ chối, và array cùng closure được tránh hoàn toàn. Đây là lý do parser đọc các field scalar tactic / technique thay vì mảng mitre_attack[].

11. Xử lý sự cố

Changelog

1.0.1

• Fix: cursor map theo từng stream (alert / host) nay được lưu dưới dạng string JSON-encoded. Platform chỉ lưu watermark kiểu string, nên dict trước đây bị ép kiểu và không đọc lại được, khiến mọi lần chạy đều pull lại từ lookback_hours. Giá trị dict cũ vẫn được chấp nhận khi đọc, và giá trị không parse được sẽ fallback về lookback_hours.

1.0.0

• Phát hành lần đầu: pull connector OAuth2 cho Falcon Alerts v2 và Hosts, parser thống nhất cho cả hai luồng, 5 streaming rule và 2 correlation rule, overview dashboard và compliance report.

Hỗ trợ

• Lỗi platform/Góp ý pack: Dùng tính năng feedback trên trang Marketplace