Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

CrowdStrike Falcon

De collector uitsluiten in CrowdStrike Falcon met een machine learning exclusion en een IOA exclusion. Plus waarom je geen sensor visibility exclusion gebruikt.

CrowdStrike Falcon kan het programma van de collector in quarantaine zetten (machine learning) of zijn netwerkscan-gedrag als aanval melden (IOA). In dit artikel maak je voor beide een smalle uitzondering. De sensor blijft de collector daarbij wel zien.

Wat je nodig hebt

  • Programma: C:\Program Files\Obsolens\obsolens-collector.exe (Linux: /usr/local/bin/obsolens-collector)

Je vindt het pad in het portaal onder Toegang regelen bij de collector. Kies daar CrowdStrike Falcon bij Stappen voor voor de stappen met ingevulde waarden.

Let op: de officiële documentatie van CrowdStrike vraagt een login. De stappen hieronder komen uit een document van SonicWall (MDR) en uit de officiële PSFalcon-repository van CrowdStrike. Waar dat zo is, staat erbij dat iets niet bevestigd is.

Machine learning exclusion

Deze stopt detecties en preventie op basis van machine learning voor het pad. Zo voorkom je dat de binary in quarantaine gaat.

  1. Ga naar Endpoint security > Configure > Exclusions.
  2. Open het tabblad Machine learning en maak een nieuwe exclusion.
  3. Vul het pad van het programma in.
  4. Kies de hostgroep waar de collector in zit, of alle hosts.
  5. Sla op.

Via PSFalcon:

New-FalconMlExclusion -Value <pad> -ExcludedFrom blocking,extraction -GroupId all

Een exclusion op certificaat dekt normaal elke versie. Het programma van de collector is op dit moment niet digitaal ondertekend, dus die kun je voor de collector nog niet gebruiken.

IOA exclusion voor het scangedrag

Een IOA exclusion stopt gedragsdetecties, zoals een melding over netwerkscannen. Je maakt hem het best vanuit de detectie zelf:

  1. Open de detectie die op de collector afging.

  2. Kies daar het maken van een exclusion.

  3. Gebruik als image filename:

    \Device\HarddiskVolume*\Program Files\Obsolens\obsolens-collector.exe

  4. Voeg eventueel een patroon voor de command line toe en sla op.

Het menupad buiten de detectie en de exacte velden van een IOA exclusion zijn niet bevestigd in de documentatie van de fabrikant.

Geen sensor visibility exclusion

Met een sensor visibility exclusion wordt het pad volledig onzichtbaar voor de sensor. CrowdStrike zegt daarover zelf "use with extreme caution". Gebruik dit niet voor de collector: de machine learning- en IOA-exclusion zijn genoeg.

Quarantaine terugdraaien

Is de collector al in quarantaine gezet:

  1. Ga naar Endpoint security > Monitor > Quarantined files.
  2. Zoek het bestand van de collector en herstel het.
  3. Maak daarna de exclusions hierboven, zodat het niet opnieuw gebeurt.

Controleren

  1. Start in het portaal Nu scannen.
  2. Kijk in de Falcon-console of er nog detecties voor de collector binnenkomen.

Bronnen

Zie ook