deploying-edr-agent-with-crowdstrike

使用 CrowdStrike 部署 EDR Agent

何时使用

在以下情况下使用此技能：

• 将 CrowdStrike Falcon 传感器部署到 Windows、macOS 或 Linux 端点
• 为不同的端点组配置 Falcon 预防和检测策略
• 将 CrowdStrike 遥测与 SIEM（Splunk、Elastic、Sentinel）集成以实现关联检测
• 排查传感器连接、性能或检测问题

请勿使用此技能部署其他 EDR 解决方案（Carbon Black、SentinelOne），或用于 Falcon 云工作负载保护（请使用特定于云的部署指南）。

前提条件

• 具有 Falcon Administrator 角色的 CrowdStrike Falcon 控制台访问权限
• 客户 ID（CID）和 Falcon 传感器安装程序包
• 目标端点上的管理员/root 访问权限
• 网络访问：端点必须能够访问 CrowdStrike 云（ts01-b.cloudsink.net，端口 443）
• 部署工具：SCCM、Intune、GPO、Ansible 或手动安装

工作流

步骤 1：获取 Falcon 传感器安装程序和 CID

1. Log into Falcon Console: https://falcon.crowdstrike.com
2. Navigate: Host setup and management → Sensor downloads
3. Download the appropriate installer:
   - Windows: WindowsSensor_<version>.exe
   - macOS: FalconSensorMacOS_<version>.pkg
   - Linux: falcon-sensor_<version>_amd64.deb / .rpm
4. Copy the Customer ID (CID) from the Sensor downloads page
   - CID format: <32-char-hex>-<2-char-checksum>

步骤 2：部署 Falcon 传感器 - Windows

通过命令行静默安装：

WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<YOUR_CID>

SCCM 部署：

1. Create an Application in SCCM
2. Deployment type: Script Installer
3. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
4. Detection method: Registry key exists
   - HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default
5. Deploy to target collection
6. Deployment purpose: Required (for mandatory installation)

Microsoft Intune 部署：

1. Navigate: Devices → Windows → Configuration profiles
2. Create Win32 app deployment
3. Upload .intunewin package (wrapped sensor installer)
4. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
5. Detection rule: File exists C:\Windows\System32\drivers\CrowdStrike\csagent.sys
6. Assign to device group

GPO 部署：

# Create startup script that checks for existing installation
$sensorPath = "C:\Windows\System32\drivers\CrowdStrike\csagent.sys"
if (-not (Test-Path $sensorPath)) {
    Start-Process -FilePath "\\fileserver\CrowdStrike\WindowsSensor.exe" `
      -ArgumentList "/install /quiet /norestart CID=<CID>" -Wait
}

步骤 3：部署 Falcon 传感器 - Linux

# Debian/Ubuntu
sudo dpkg -i falcon-sensor_7.18.0-17106_amd64.deb
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# RHEL/CentOS
sudo yum install falcon-sensor-7.18.0-17106.el8.x86_64.rpm
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# Verify sensor is running and connected
sudo /opt/CrowdStrike/falconctl -g --rfm-state
# Expected output: rfm-state=false (sensor is communicating with cloud)

步骤 4：部署 Falcon 传感器 - macOS

# Install sensor package
sudo installer -pkg FalconSensorMacOS_7.18.pkg -target /

# Set CID
sudo /Applications/Falcon.app/Contents/Resources/falconctl license <YOUR_CID>

# Grant Full Disk Access and System Extension via MDM profile
# Required for macOS Ventura+ (manual approval or MDM PPPC profile)
# MDM payload: com.crowdstrike.falcon.Agent → SystemExtension + Full Disk Access

# Verify sensor status
sudo /Applications/Falcon.app/Contents/Resources/falconctl stats

步骤 5：配置预防策略

在 Falcon 控制台中，导航至 Configuration → Prevention Policies：

推荐的预防策略设置：

Machine Learning:
  - Cloud ML: Aggressive (extra protection, may increase false positives)
  - Sensor ML: Moderate
  - Adware & PUP: Moderate

Behavioral Protection:
  - On Write: Enabled (detect malware on file creation)
  - On Sensor ML: Enabled
  - Interpreter-Only: Enabled (detect script-based attacks)

Exploit Mitigation:
  - Exploit behavior protection: Enabled
  - Memory scanning: Enabled (detects in-memory attacks)
  - Code injection: Enabled

Ransomware:
  - Ransomware protection: Enabled
  - Shadow copy protection: Enabled
  - MBR protection: Enabled

为以下对象创建单独的策略：

• 工作站（激进设置）
• 服务器（适度设置，以避免对服务器工作负载产生误报）
• 关键基础设施（最大保护，并配有例外列表）

步骤 6：配置响应策略

Real-Time Response:
  - Enable RTR for all sensor groups
  - Configure RTR admin vs. RTR responder roles
  - Enable script execution (for IR teams)
  - Enable file extraction (for forensics)

Network Containment:
  - Pre-authorize containment for specific host groups
  - Configure containment exclusions (allow management traffic)

Automated Response:
  - Enable automated remediation for high-confidence detections
  - Configure kill process action for ransomware detections
  - Enable quarantine for malware file detections

步骤 7：验证部署

# Windows: Check Falcon sensor status
sc query csagent
# Expected: RUNNING

# Check sensor version
reg query "HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default" /v AgentVersion

# Verify cloud connectivity
# In Falcon Console: Host Management → Hosts → search for hostname
# Status should show "Online" with last seen timestamp < 5 minutes

测试检测能力：

# CrowdStrike provides test detection samples
# Download CsTestDetect.exe from Falcon Console → Host setup
# Run on endpoint to generate a test detection
.\CsTestDetect.exe
# Verify detection appears in Falcon Console within 60 seconds

步骤 8：SIEM 集成

# Falcon SIEM Connector (Streaming API)
# Configure in Falcon Console: Support → API Clients and Keys

# Create API client with scope: Event Streams → Read
# Use falcon-siem-connector or Falcon Data Replicator (FDR)

# Splunk integration:
# Install CrowdStrike Falcon Event Streams Technical Add-on from Splunkbase
# Configure: Settings → Data inputs → CrowdStrike Falcon Event Streams
# Enter API Client ID and Secret
# Index: crowdstrike_events

# Elastic integration:
# Use Elastic Agent with CrowdStrike module
# Configure: Fleet → Agent policies → Add integration → CrowdStrike

关键概念

术语	定义
Falcon 传感器	轻量级内核模式 Agent（25-30 MB），负责收集端点遥测数据并执行预防策略
CID（客户 ID）	将传感器与您的 CrowdStrike Falcon 租户关联的唯一标识符
RFM（功能降级模式）	传感器因云连接丢失而以有限能力运行的状态
传感器分组标签	安装期间应用的标签，用于自动将主机分配给组和策略
RTR（实时响应）	远程 shell 能力，使事件响应人员能够通过 Falcon 与端点交互
IOA（攻击指标）	基于攻击者技术而非静态签名的行为检测

工具与系统

• CrowdStrike Falcon 控制台：为所有 Falcon 模块提供的云托管管理平台
• Falcon SIEM Connector：将检测和审计事件流式传输到 SIEM 平台
• Falcon Data Replicator（FDR）：将原始端点遥测数据流式传输到 S3/云存储，用于狩猎
• CrowdStrike Falcon API（OAuth2）：用于自动化、集成和自定义工作流的 RESTful API
• PSFalcon：用于 CrowdStrike Falcon API 自动化的 PowerShell 模块

常见陷阱

• 安装期间缺少 CID：传感器会安装，但永远不会连接到 Falcon 云。务必在安装期间传入 CID，而不是安装之后。
• 未配置代理：在具有 Web 代理的环境中，请在安装期间配置代理：/install /quiet CID=<CID> APP_PROXYNAME=proxy.corp.com APP_PROXYPORT=8080。
• macOS 系统扩展被阻止：macOS 要求对内核/系统扩展进行明确批准。在部署之前，使用 MDM 预批准 CrowdStrike 扩展。
• 安全产品冲突：运行多个 EDR/AV 产品会导致性能问题和误报。在部署 Falcon 之前，协调排除项或移除旧版 AV。
• 传感器版本固定：默认情况下，Falcon 会自动更新传感器。对于变更受控的环境，请在控制台中固定传感器版本，然后再测试新版本。