# CrowdStrike의 소스 구성
<a name="crowdstrike-source-setup"></a>

## CrowdStrike Falcon과 통합
<a name="crowdstrike-integration"></a>

CrowdStrike Falcon Data Replicator(FDR)는 CrowdStrike Security Cloud 및 세계적인 수준의 인공 지능(AI)을 통해 엔드포인트, 클라우드 워크로드, 자격 증명 데이터를 제공하고 보강하므로, 작업 팀은 실행 가능한 인사이트를 도출하여 보안 운영 센터(SOC) 성능을 개선할 수 있습니다. Amazon CloudWatch Logs를 사용하면 CloudWatch Logs에서 이러한 데이터를 수집할 수 있습니다.

## Amazon S3 및 Amazon SQS를 설정하기 위한 지침
<a name="crowdstrike-s3-sqs-setup"></a>

Amazon S3 버킷으로 로그를 전송하도록 CrowdStrike FDR을 구성하려면 Amazon S3 버킷, Amazon SQS 대기열, IAM 역할을 설정한 다음 Amazon Telemetry Pipeline을 구성하는 데 주로 중점을 둔 몇 가지 단계가 필요합니다.
+ CrowdStrike Falcon 환경 내에서 CrowdStrike FDR이 활성화되어 있는지 확인합니다. 여기에는 일반적으로 특정 라이선스가 필요하며 CrowdStrike 지원 작업이 수반될 수도 있습니다.
+ CrowdStrike 로그를 저장하는 Amazon S3 버킷은 FDR이 활성화된 리전과 동일한 AWS 리전에 있어야 합니다.
+ 특히 '객체 생성' 이벤트에 대한 이벤트 알림을 생성하도록 Amazon S3 버킷을 구성합니다. 이러한 알림은 Amazon SQS 대기열로 전송해야 합니다.
+ Amazon S3 버킷과 동일한 AWS 리전에서 Amazon SQS 대기열을 생성합니다. 새 로그 파일이 Amazon S3 버킷에 추가되면 이 대기열에 알림이 수신됩니다.

## CloudWatch 파이프라인 구성
<a name="crowdstrike-pipeline-config"></a>

CrowdStrike FDR에서 데이터를 읽도록 파이프라인을 구성할 경우 CrowdStrike를 데이터 소스로 선택합니다. 필수 정보를 입력한 후 파이프라인을 생성하면 선택한 CloudWatch Logs 로그 그룹에서 데이터를 사용할 수 있습니다.

## 지원되는 Open Cybersecurity Schema Framework 이벤트 클래스
<a name="crowdstrike-ocsf-support"></a>

이 통합은 OCSF 스키마 버전 v1.5.0을 지원하고, 탐지 결과(2004) 및 프로세스 활동(1007)에 매핑되는 CrowdStrike FDR 작업을 지원합니다.

### 탐지 결과
<a name="crowdstrike-detection-findings"></a>

탐지 결과에는 다음과 같은 작업이 포함됩니다.
+ CloudAssociateTreeIdWithRoot
+ CustomIOADomainNameDetectionInfoEvent
+ TemplateDetectAnalysis

### 프로세스 활동
<a name="crowdstrike-process-activity"></a>

프로세스 활동에는 다음과 같은 작업이 포함됩니다.
+ ActiveDirectoryIncomingPsExecExecution2
+ AndroidIntentSentIPC
+ AssociateTreeIdWithRoot
+ AutoRunProcessInfo
+ BamRegAppRunTime
+ BlockThreadFailed
+ BrowserInjectedThread
+ CidMigrationConfirmation
+ CodeSigningAltered
+ CommandHistory
+ CreateProcessArgs
+ CreateThreadNoStartImage
+ CriticalEnvironmentVariableChanged
+ CsUmProcessCrashAuxiliaryEvent
+ CsUmProcessCrashSummaryEvent
+ CustomIOABasicProcessDetectionInfoEvent
+ DebuggableFlagTurnedOn
+ DebuggedState
+ DllInjection
+ DocumentProgramInjectedThread
+ EarlyExploitPivotDetect
+ EndOfProcess
+ EnvironmentVariablesChanged
+ FalconProcessHandleOpDetectInfo
+ FlashThreadCreateProcess
+ IdpWatchdogRemediationActionTaken
+ InjectedThread
+ InjectedThreadFromUnsignedModule
+ IPCDetectInfo
+ JavaInjectedThread
+ KillProcessError
+ LsassHandleFromUnsignedModule
+ MacKnowledgeActivityEnd
+ MacKnowledgeActivityStart
+ NamespaceChanged
+ PcaAppLaunchEntry
+ PcaGeneralDbEntry
+ PrivilegedProcessHandle
+ PrivilegedProcessHandleFromUnsignedModule
+ ProcessActivitySummary
+ ProcessBlocked
+ ProcessControl
+ ProcessDataUsage
+ ProcessExecOnPackedExecutable
+ ProcessHandleOpDetectInfo
+ ProcessHandleOpDowngraded
+ ProcessInjection
+ ProcessPatternTelemetry
+ ProcessRollup
+ ProcessRollup2
+ ProcessRollup2Stats
+ ProcessSelfDeleted
+ ProcessSessionCreated
+ ProcessSubstituteUser
+ ProcessTokenStolen
+ ProcessTrace
+ ProcessTreeCompositionPatternTelemetry
+ PtTelemetry
+ PtyCreated
+ QueueApcEtw
+ ReflectiveDllOpenProcess
+ RegisterRawInputDevicesEtw
+ RemediationActionKillProcess
+ RemediationMonitorKillProcess
+ RuntimeEnvironmentVariable
+ ScriptControlDotNetMetadata
+ ScriptControlErrorEvent
+ ServiceStarted
+ SessionPatternTelemetry
+ SetThreadCtxEtw
+ SetWindowsHook
+ SetWindowsHookExEtw
+ SetWinEventHookEtw
+ ShellCommandLineInfo
+ SruApplicationTimelineProvider
+ SudoCommandAttempt
+ SuspectCreateThreadStack
+ SuspendProcessError
+ SuspiciousPrivilegedProcessHandle
+ SuspiciousUserFontLoad
+ SuspiciousUserRemoteAPCAttempt
+ SyntheticPR2Stats
+ SyntheticProcessRollup2
+ SyntheticProcessTrace
+ SystemTokenStolen
+ TerminateProcess
+ ThreadBlocked
+ UACAxisElevation
+ UACCOMElevation
+ UACExeElevation
+ UACMSIElevation
+ UmppcBypassSuspected
+ UnexpectedEnvironmentVariable
+ UserAssistAppLaunchInfo
+ UserSetProcessBreakOnTermination
+ WmiCreateProcess
+ WmiFilterConsumerBindingEtw