CrowdStrike

Datentypen für Importe

• Erweiterung der Asset-Details und Anlegen neuer Assets in Vantage

  CrowdStrike Falcon liefert Daten wie Hostname, IP- und MAC-Adressen, Betriebssystem und -version, Agent-Version, Sensorstatus, Zeitstempel der letzten Erkennung sowie Zugehörigkeit zu einer Organisationseinheit (OU), um bestehende Vantage zu ergänzen und neue Asset-Datensätze für Endpunkte zu erstellen, die im OT noch nicht erfasst wurden.

• Import der Bestandsliste für die Anlagenverwaltung

  CrowdStrike Falcon meldet für jede auf dem endpoint erkannte ausführbare Datei den Anwendungsnamen, den Hersteller, die Version und das Installationsdatum. Diese nach Endgeräten gegliederte Softwareliste wird in Vantage importiert und bietet OT einen zuverlässigen Überblick darüber, welche Anwendungen auf den einzelnen überwachten Geräten ausgeführt werden.

• Import von CPE- und CVE-Daten

  CrowdStrike Falcon generiert anhand des Falcon Spotlight-Moduls für Sicherheitslücken die CVE-ID, den Schweregrad, das betroffene Produkt sowie Anleitungen zur Behebung. Diese Ergebnisse werden Vantage CPE-korrelierte Sicherheitslückeneinträge in Vantage importiert, wodurch eine priorisierte Nachverfolgung der Behebungsmaßnahmen im Nozomi ermöglicht wird.

Gemeinsame Anwendungsfälle

• Korrelation von CrowdStrike-Signalen mit Warnmeldungen aus OT

  Wenn Nozomi Vantage einen Anomalie-Alarm für ein Gerät innerhalb eines OT Vantage , kann der Analyst direkt auf den CrowdStrike Falcon-Eintrag desselben Assets in Vantage zugreifen, Vantage die jüngsten Erkennungen, Präventionsereignisse, den Isolationsstatus und den Zustand des Agenten zu überprüfen – und das alles, ohne den Vantage zu verlassen. Diese schichtübergreifende Korrelation zeigt auf, ob eine Anomalie auf Netzwerkebene mit den von CrowdStrike beobachteten Aktivitäten übereinstimmt, wodurch sich die Zeit für die Bestätigung oder Entlastung eines Vorfalls verkürzt.

• Schließung von Lücken in der Bestandsaufnahme von Anlagen in den Bereichen IT und OT

  Geräte, die von CrowdStrike Falcon erfasst, aber noch nicht von Nozomi erkannt wurden, werden automatisch als neue Asset-Einträge in Vantage angelegt. Diese Einträge enthalten den Hostnamen, das Betriebssystem, den Agent-Status und den Zeitstempel der letzten Erkennung, die aus der CrowdStrike-Verwaltungsebene stammen. OT können das daraus resultierende einheitliche Inventar überprüfen, um nicht überwachte oder unzureichend geschützte Assets in industriellen und kritischen Infrastrukturbereichen zu identifizieren und anschließend den Einsatz von Sensoren entsprechend zu priorisieren.

• Priorisierung der Behebung von Sicherheitslücken bei kritischen OT

  Die aus CrowdStrike Falcon importierten CVE-Befunde und Schweregradbewertungen werden zusammen mit OT Nozomi für jede Ressource angezeigt, sodass Sicherheitsingenieure den Aufwand für Abhilfemaßnahmen sowohl nach dem Schweregrad der Schwachstelle als auch nach der betrieblichen Kritikalität des betroffenen Geräts einstufen können. Diese gemeinsame Ansicht ermöglicht es, bei Compliance-Berichtsworkflows – wie beispielsweise bei Lückenanalysen gemäß IEC 62443 – sowohl die im Netzwerk beobachteten Risiken als auch die von CrowdStrike bestätigten Schwachstellendaten über ein einziges Vantage abzurufen.

Voraussetzungen für die Integration