cst

1. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 1/11
Iniciar y escalar
Última actualización: 19/08/2019
Contenido:
Sobre la plataforma Falcon
¿Qué es el halcón?
¿Cómo funciona Falcon?
¿Qué capacidades de detección tiene Falcon?
¿Qué es el sensor Falcon?
¿El sensor se integra con la tecnología SIEM?
¿Qué sistemas operativos admite Falcon?
¿Qué datos envía Falcon a la nube?
¿Cómo protege Falcon los datos del cliente?
Poniendo a Falcon en funcionamiento
Antes de que empieces
Descargue e instale el sensor
Configurar un grupo de host
Revise la política de prevención predeterminada
Ver el sensor detectar un evento
Más información
Quedan 2 días

2. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 2/11
Sobre la plataforma Falcon
¿Qué es el halcón?
CrowdStrike Falcon es una solución de protección de punto final de próxima generación basada en SaaS que proporciona
capacidades avanzadas de detección, prevención, monitoreo y búsqueda, lo que permite a los analistas defenderse contra
amenazas sofisticadas y adversarios. Falcon ofrece visibilidad remota a través de puntos finales en un entorno, lo que permite
el acceso instantáneo al "quién, qué, cuándo, dónde y cómo" de un ataque. Recopilamos y analizamos más de 80 mil millones
de eventos de punto final cada día de millones de sensores implementados en 176 países. Falcon puede ayudarlo a proteger
sus puntos finales, ya sea que tenga solo unos pocos o cientos de miles.
¿Cómo funciona Falcon?
Falcon consta de dos componentes: el sensor y la nube.
Primero, se implementa un sensor liviano en cada punto final donde reúne los eventos del sistema apropiados de cada host y
toma acciones de detección y prevención proactivas. El sensor Falcon detecta y defiende contra los ataques que ocurren en el
disco y en la memoria. La plataforma vigila continuamente procesos sospechosos, eventos y actividades, donde sea que
residan. Falcon también proporciona capacidades de prevención avanzadas como listas blancas personalizadas, listas negras
personalizadas, bloqueo de malware, bloqueo de exploits y prevención basada en IOA (Indicadores de ataque).
Los datos recopilados por el sensor se transmiten continuamente desde el sensor a la Nube de Inteligencia de Amenaza
Avanzada de CrowdStrike, donde CrowdStrike analiza y dibuja enlaces entre eventos en toda la comunidad de sensores Falcon.
Estos patrones de comportamiento se detectan en tiempo real a través del modelo de datos del gráfico de amenazas de
CrowdStrike, lo que permite a los analistas detectar nuevos ataques, ya sea que los ataques usen malware o no.
CrowdStrike le ofrece un conjunto de potentes herramientas de investigación, prevención, detección y monitoreo de sensores
en la interfaz web de Falcon, su centro de comando para todo lo relacionado con Falcon. Consulte la Guía del usuario de la
consola Falcon para obtener un tutorial de aplicación por aplicación.
Quedan 2 días

3. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 3/11
¿Qué capacidades de detección tiene Falcon?
Para las amenazas conocidas, Falcon proporciona capacidades de detección de antivirus (Cloud AV) e indicadores de
compromiso (IOC) basados en la nube. Para amenazas desconocidas y de día cero, Falcon aplica la detección de IOA, utilizando
técnicas de aprendizaje automático para construir modelos predictivos que pueden detectar actividades maliciosas nunca
vistas con gran precisión. Impulsado por el modelo de datos del Gráfico de amenazas de CrowdStrike, este análisis IOA
reconoce patrones de comportamiento para detectar nuevos ataques.
¿Qué es el sensor Falcon?
El sensor tarda solo unos minutos en desplegarse en sus puntos finales, y los analistas monitorean y administran el entorno a
través de la interfaz web de Falcon, un potente portal web. Con Falcon, no hay controladores para instalar, configurar,
actualizar o mantener. No hay equipos en las instalaciones. Falcon es una solución 100% basada en la nube, que ofrece
seguridad como servicio a los usuarios.
¿El sensor se integra con la tecnología SIEM?
Para los hosts de Windows, Mac y Linux, CrowdStrike proporciona el conector Falcon SIEM que le permite enviar detecciones y
eventos de auditoría a su SIEM. Falcon SIEM Connector se integra con HP ArcSight, IBM Q-Radar y Splunk. Además,
CrowdStrike ofrece la API de transmisión para permitir la integración con SIEM de terceros. Para obtener más información,
consulte la Guía de funciones del conector SIEM y el Diccionario de eventos API de transmisión .
¿Qué sistemas operativos admite Falcon?
Para obtener la lista más actualizada de los sistemas operativos compatibles, consulte las Guías de implementación:
Ventanas
Quedan 2 días

4. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 4/11
Mac
Linux
Móvil: iOS y Android
¿Qué datos envía Falcon a la nube?
La plataforma Falcon está diseñada para maximizar la visibilidad de los eventos de seguridad de punto final históricos y en
tiempo real mediante la recopilación de los datos de eventos necesarios para identificar, comprender y responder a los
ataques, pero nada más. La cantidad de datos que un sensor transmite a la nube varía según la actividad de cada host.
Este conjunto predeterminado de eventos del sistema se centra en la ejecución del proceso y se supervisa continuamente para
detectar actividades sospechosas. Cuando se detecta dicha actividad, se inician actividades adicionales de recopilación de
datos para comprender mejor la situación y permitir una respuesta oportuna al evento. Los datos específicos recopilados
cambian a medida que CrowdStrike avanza las capacidades y en respuesta a los cambios en el panorama de amenazas.
¿Cómo protege Falcon los datos del cliente?
CrowdStrike utiliza un túnel encriptado SSL / TLS para enviar datos entre el sensor y la nube.
Además, CrowdStrike utiliza la fijación de certificados en el lado del sensor. Esto significa que un sensor solo se comunicará
con los puntos finales de la nube que tengan un certificado conocido. CrowdStrike también le brinda la capacidad de incluir en
la lista blanca nuestros puntos finales de la nube en sus firewalls para garantizar que sus sensores Falcon solo se comuniquen
con CrowdStrike.
A continuación, a cada cliente se le asigna una ID de cliente única. Debido a que CrowdStrike etiqueta los datos del cliente con
un ID de cliente único, cualquier consulta o intercambio de datos se limitará al alcance de un ID de cliente específico, que
asegura aún más los datos.
Quedan 2 días

5. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 5/11
Una vez que los datos están en la nube CrowdStrike, todos los datos, incluidas las copias de seguridad, se cifran con el cifrado
AES256 estándar de la industria.
CrowdStrike también limita el acceso de los empleados a los datos del cliente a las personas con una necesidad comercial.
Esto incluye Atención al cliente y Falcon Overwatch. Además, el acceso directo a los sistemas subyacentes se limita solo a los
ingenieros con una necesidad comercial. El acceso está protegido por VPN encriptada y autenticación multifactor.
Quedan 2 días

6. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 6/11
Poniendo a Falcon en funcionamiento
Este tutorial de alto nivel le ayudará a guiarlo en una implementación básica de Falcon para los puntos finales de Windows,
Mac y Linux, desde la instalación de su primer sensor hasta la ampliación a todo su entorno. Para obtener información sobre la
protección de endpoints de iOS y Android, consulte la Guía de implementación de Falcon para dispositivos móviles .
Antes de que empieces
Tener dos dispositivos:
Un dispositivo de prueba con Windows. Instalarás el sensor Falcon en este dispositivo. Para uso general, Falcon también
es compatible con dispositivos Mac y Linux.
Un dispositivo de gestión con Google Chrome. Este dispositivo se usa para acceder a la consola Falcon.
Configure su cuenta Falcon, incluida la autenticación de dos factores (2FA), utilizando el enlace en su correo electrónico de
activación.
Descargue e instale el sensor
El sensor Falcon es un agente ligero que instala en cada dispositivo. Cuando un dispositivo tiene un sensor Falcon instalado, lo
llamamos host . Cada sensor detecta y evita la actividad maliciosa en un host, de acuerdo con las políticas que configurará
más adelante. Utiliza la consola Falcon para administrar tus hosts.
En este proceso de ejemplo, descargue e instale manualmente el sensor Falcon en su dispositivo de prueba.
1. DESCARGUE EL INSTALADOR DEL SENSOR
Use su dispositivo de administración para descargar el instalador del sensor:
Quedan 2 días

7. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 7/11
1. En la consola Falcon, vaya a Hosts> Descargas de sensores .
2. Si está instalando el sensor en un dispositivo Mac o Linux, copie la suma de verificación de su ID de cliente. Esta
identificación es necesaria cuando se ejecuta el instalador. Si está instalando el sensor en un dispositivo con Windows, la
suma de verificación de ID del cliente se completará automáticamente.
3. Descargue el archivo instalador para la plataforma de su dispositivo de prueba.
4. Transfiera el instalador a su dispositivo de prueba utilizando una unidad USB u otro método de transferencia de
archivos.
2. EJECUTE EL INSTALADOR DEL SENSOR
En su dispositivo de prueba, ejecute el instalador del sensor utilizando una cuenta con privilegios administrativos.
1. Abra el instalador del sensor y siga las indicaciones.
2. Si está instalando el sensor en un dispositivo Mac o Linux, ingrese su suma de verificación de ID de cliente cuando se le
solicite. Si no tiene la suma de verificación de su ID de cliente , puede encontrarla en la página Hosts> Descargas de
sensores .
3. Confirme que el sensor se está ejecutando con este comando en la interfaz de línea de comandos de su host: sc query
csagent
3. AMPLIAR
Aprenda sobre la implementación a escala, utilizando herramientas como SCCM o JAMF, configurando imágenes para la
clonación y más de nuestras guías de implementación completas:
Ventanas
Mac
Quedan 2 días

8. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 8/11
Linux
Configurar un grupo de host
Los grupos son colecciones de hosts en su organización. Mediante el uso de grupos, puede controlar la protección del punto
final y las actualizaciones de sensores para cada uno de sus hosts. Por ejemplo, puede crear grupos separados para servidores,
dispositivos de usuarios generales y dispositivos de sus ejecutivos.
En este ejemplo, cree un grupo y asigne su host por plataforma.
1. CREAR UN GRUPO DE HOST
1. En la consola de Falcon, vaya a Hosts> Grupos .
2. Haga clic en Agregar nuevo grupo en la esquina superior derecha.
3. Ingrese un nombre y una descripción opcional.
4. Seleccione Dinámico como su tipo de grupo. Esto significa que el grupo agrega automáticamente nuevos hosts cuando
coinciden con la regla de asignación del grupo.
2. PONER UN HOST EN EL GRUPO
En los detalles de su grupo de host:
1. Haga clic en Editar cerca de la regla de asignación .
2. En la columna Versión del sistema operativo de la barra de filtro, seleccione el sistema operativo de su host. Cuando lo
haga, el host se agregará a la lista de Hosts para este grupo.
3. Haz clic en Guardar en la esquina superior derecha.
Quedan 2 días

9. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 9/11
3. AMPLIAR
Los grupos de hosts son esenciales cuando su entorno tiene docenas (a cientos de miles) de hosts. Lea Host and Host Group
Management para obtener información sobre:
Asignación de hosts a grupos dinámicos utilizando otros atributos, como su Unidad organizativa (OU) en Active Directory
Asignación de hosts a grupos estáticos seleccionándolos manualmente
Use grupos de hosts para mantener sus hosts con versiones actualizadas de sensores. Lea las Políticas de actualización del
sensor para obtener más información.
Revise la política de prevención predeterminada
Las políticas de prevención son conjuntos de reglas que controlan cómo responde Falcon a la actividad potencialmente
maliciosa identificada por sus sensores.
1. NAVEGUE A LA POLÍTICA PREDETERMINADA
Cuando creó su grupo, Falcon lo asignó automáticamente para usar la Política predeterminada , que es solo detección. Revise la
política predeterminada utilizando la consola Falcon:
1. Vaya a Configuración> Políticas de prevención .
2. Haz clic en Política predeterminada .
Puede examinar los controles en la Política predeterminada para comprender su configuración. Más tarde, puede crear sus
propias políticas para ser tan cauteloso o tan agresivo como lo requiera su entorno.
2. AMPLIAR
Quedan 2 días

10. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 10/11
Cuando tiene muchos grupos, desea tener un control más preciso sobre las detecciones y prevenciones activadas en sus
hosts. Esta guía introductoria le muestra cómo comenzar con Falcon, pero Falcon puede detectar y prevenir ataques mucho
más sofisticados en todos los puntos finales de su entorno. Lea las Políticas de detección y prevención para obtener más
información sobre la configuración de políticas de prevención y configuraciones personalizadas de detección y prevención:
Exclusiones de archivo
Prevención Hashes
Reglas de IOA personalizadas
Ver el sensor detectar un evento
Los sensores Falcon detectan actividad maliciosa, responden de acuerdo con sus políticas e informan la actividad a
CrowdStrike Cloud. Puede ver información sobre esta actividad maliciosa en la consola Falcon.
1. EJECUTA UN ATAQUE SIMULADO
Para ver un ejemplo de cómo se ve una detección, ejecute un ataque simulado pero inofensivo en su host:
1. Abra un símbolo del sistema.
2. Ejecute este comando: choice /M crowdstrike_sample_detection
2. VER LA DETECCIÓN
Regrese a la consola Falcon en su dispositivo de administración para ver que el sensor Falcon detectó este ataque.
1. Vaya a Actividad> Detecciones en su dispositivo de administración.
2. Haga clic en la línea de pedido para la detección que activó.
Quedan 2 días

11. 29/8/2019 Iniciar y escalar | Documentación | Apoyo | Halcón
https://falcon.crowdstrike.com/support/documentation/28/start-up-and-scale-up 11/11
Revise un resumen del evento e investigue la secuencia de eventos en su host que condujo al ataque.
3. AMPLIAR
Lea el Monitoreo de detecciones para obtener más información acerca de cómo comprender las detecciones y las
prevenciones en su entorno y aprender a configurar alertas personalizadas para recibir correos electrónicos sobre sus
detecciones.
Quedan 2 días