deploying-edr-agent-with-crowdstrike

CrowdStrike を使用した EDR エージェントのデプロイ

使用するタイミング

以下の場合にこのスキルを使用します。

• Windows、macOS、Linux のエンドポイントに CrowdStrike Falcon センサーをデプロイする場合
• さまざまなエンドポイントグループ向けに Falcon の防止ポリシーと検知ポリシーを設定する場合
• CrowdStrike のテレメトリを SIEM（Splunk、Elastic、Sentinel）と統合し、相関検知を行う場合
• センサーの接続、パフォーマンス、検知に関する問題をトラブルシューティングする場合

他の EDR ソリューション（Carbon Black、SentinelOne）や Falcon のクラウドワークロード保護をデプロイする場合は、このスキルを使用しないでください（クラウド固有のデプロイガイドを使用してください）。

前提条件

• Falcon Administrator ロールを持つ CrowdStrike Falcon コンソールへのアクセス
• Customer ID（CID）と Falcon センサーのインストーラーパッケージ
• 対象エンドポイントへの管理者／root アクセス
• ネットワークアクセス：エンドポイントが CrowdStrike クラウド（ts01-b.cloudsink.net のポート 443）に接続できること
• デプロイツール：SCCM、Intune、GPO、Ansible、または手動インストール

ワークフロー

ステップ 1：Falcon センサーのインストーラーと CID を取得する

1. Log into Falcon Console: https://falcon.crowdstrike.com
2. Navigate: Host setup and management → Sensor downloads
3. Download the appropriate installer:
   - Windows: WindowsSensor_<version>.exe
   - macOS: FalconSensorMacOS_<version>.pkg
   - Linux: falcon-sensor_<version>_amd64.deb / .rpm
4. Copy the Customer ID (CID) from the Sensor downloads page
   - CID format: <32-char-hex>-<2-char-checksum>

ステップ 2：Falcon センサーをデプロイする - Windows

コマンドラインからのサイレントインストール：

WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<YOUR_CID>

SCCM によるデプロイ：

1. Create an Application in SCCM
2. Deployment type: Script Installer
3. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
4. Detection method: Registry key exists
   - HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default
5. Deploy to target collection
6. Deployment purpose: Required (for mandatory installation)

Microsoft Intune によるデプロイ：

1. Navigate: Devices → Windows → Configuration profiles
2. Create Win32 app deployment
3. Upload .intunewin package (wrapped sensor installer)
4. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
5. Detection rule: File exists C:\Windows\System32\drivers\CrowdStrike\csagent.sys
6. Assign to device group

GPO によるデプロイ：

# Create startup script that checks for existing installation
$sensorPath = "C:\Windows\System32\drivers\CrowdStrike\csagent.sys"
if (-not (Test-Path $sensorPath)) {
    Start-Process -FilePath "\\fileserver\CrowdStrike\WindowsSensor.exe" `
      -ArgumentList "/install /quiet /norestart CID=<CID>" -Wait
}

ステップ 3：Falcon センサーをデプロイする - Linux

# Debian/Ubuntu
sudo dpkg -i falcon-sensor_7.18.0-17106_amd64.deb
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# RHEL/CentOS
sudo yum install falcon-sensor-7.18.0-17106.el8.x86_64.rpm
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# Verify sensor is running and connected
sudo /opt/CrowdStrike/falconctl -g --rfm-state
# Expected output: rfm-state=false (sensor is communicating with cloud)

ステップ 4：Falcon センサーをデプロイする - macOS

# Install sensor package
sudo installer -pkg FalconSensorMacOS_7.18.pkg -target /

# Set CID
sudo /Applications/Falcon.app/Contents/Resources/falconctl license <YOUR_CID>

# Grant Full Disk Access and System Extension via MDM profile
# Required for macOS Ventura+ (manual approval or MDM PPPC profile)
# MDM payload: com.crowdstrike.falcon.Agent → SystemExtension + Full Disk Access

# Verify sensor status
sudo /Applications/Falcon.app/Contents/Resources/falconctl stats

ステップ 5：防止ポリシーを設定する

Falcon Console で、Configuration → Prevention Policies に移動します。

推奨される防止ポリシー設定：

Machine Learning:
  - Cloud ML: Aggressive (extra protection, may increase false positives)
  - Sensor ML: Moderate
  - Adware & PUP: Moderate

Behavioral Protection:
  - On Write: Enabled (detect malware on file creation)
  - On Sensor ML: Enabled
  - Interpreter-Only: Enabled (detect script-based attacks)

Exploit Mitigation:
  - Exploit behavior protection: Enabled
  - Memory scanning: Enabled (detects in-memory attacks)
  - Code injection: Enabled

Ransomware:
  - Ransomware protection: Enabled
  - Shadow copy protection: Enabled
  - MBR protection: Enabled

以下の対象ごとに個別のポリシーを作成します：

• ワークステーション（積極的な設定）
• サーバー（サーバーワークロードでの誤検知を避けるため、適度な設定）
• 重要インフラ（例外リストを使用した最大限の保護）

ステップ 6：対応ポリシーを設定する

Real-Time Response:
  - Enable RTR for all sensor groups
  - Configure RTR admin vs. RTR responder roles
  - Enable script execution (for IR teams)
  - Enable file extraction (for forensics)

Network Containment:
  - Pre-authorize containment for specific host groups
  - Configure containment exclusions (allow management traffic)

Automated Response:
  - Enable automated remediation for high-confidence detections
  - Configure kill process action for ransomware detections
  - Enable quarantine for malware file detections

ステップ 7：デプロイを検証する

# Windows: Check Falcon sensor status
sc query csagent
# Expected: RUNNING

# Check sensor version
reg query "HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default" /v AgentVersion

# Verify cloud connectivity
# In Falcon Console: Host Management → Hosts → search for hostname
# Status should show "Online" with last seen timestamp < 5 minutes

検知機能をテストする：

# CrowdStrike provides test detection samples
# Download CsTestDetect.exe from Falcon Console → Host setup
# Run on endpoint to generate a test detection
.\CsTestDetect.exe
# Verify detection appears in Falcon Console within 60 seconds

ステップ 8：SIEM を統合する

# Falcon SIEM Connector (Streaming API)
# Configure in Falcon Console: Support → API Clients and Keys

# Create API client with scope: Event Streams → Read
# Use falcon-siem-connector or Falcon Data Replicator (FDR)

# Splunk integration:
# Install CrowdStrike Falcon Event Streams Technical Add-on from Splunkbase
# Configure: Settings → Data inputs → CrowdStrike Falcon Event Streams
# Enter API Client ID and Secret
# Index: crowdstrike_events

# Elastic integration:
# Use Elastic Agent with CrowdStrike module
# Configure: Fleet → Agent policies → Add integration → CrowdStrike

重要な概念

用語	定義
Falcon Sensor	エンドポイントのテレメトリを収集し、防止ポリシーを適用する軽量なカーネルモードのエージェント（25～30 MB）
CID（Customer ID）	センサーを CrowdStrike Falcon テナントに関連付ける一意の識別子
RFM（Reduced Functionality Mode）	クラウド接続が失われたため、センサーの機能が制限された状態
Sensor Grouping Tags	インストール時に適用され、ホストをグループやポリシーに自動割り当てするラベル
RTR（Real-Time Response）	インシデント対応者が Falcon を通じてエンドポイントを操作できるリモートシェル機能
IOA（Indicators of Attack）	静的なシグネチャではなく、攻撃者の手法に基づく振る舞い検知

ツールとシステム

• CrowdStrike Falcon Console：すべての Falcon モジュールを管理するクラウドホスト型プラットフォーム
• Falcon SIEM Connector：検知イベントと監査イベントを SIEM プラットフォームにストリーミングするコネクター
• Falcon Data Replicator（FDR）：ハンティング用に、生のエンドポイントテレメトリを S3／クラウドストレージにストリーミングするツール
• CrowdStrike Falcon API（OAuth2）：自動化、統合、カスタムワークフロー向けの RESTful API
• PSFalcon：CrowdStrike Falcon API の自動化に使用する PowerShell モジュール

よくある落とし穴

• インストール時の CID の指定漏れ：センサーはインストールされますが、Falcon クラウドに接続できません。CID はインストール時に必ず渡してください。インストール後に指定してはいけません。
• プロキシの未設定：ウェブプロキシがある環境では、インストール時にプロキシを設定してください：/install /quiet CID=<CID> APP_PROXYNAME=proxy.corp.com APP_PROXYPORT=8080。
• macOS のシステム機能拡張がブロックされる：macOS では、カーネル機能拡張／システム機能拡張の明示的な承認が必要です。デプロイ前に MDM を使用して CrowdStrike の機能拡張を事前承認してください。
• セキュリティ製品の競合：複数の EDR／AV 製品を実行すると、パフォーマンスの問題や誤検知が発生します。Falcon をデプロイする前に、除外設定を調整するか、従来の AV 製品を削除してください。
• センサーのバージョン固定：Falcon はデフォルトでセンサーを自動更新します。変更管理が必要な環境では、新しいバージョンをテストする前にコンソールでセンサーのバージョンを固定してください。