Implantando Agente EDR com CrowdStrike

Quando Usar

Use esta habilidade quando:

• Implantar sensores CrowdStrike Falcon em endpoints Windows, macOS ou Linux
• Configurar políticas de prevenção e detecção do Falcon para diferentes grupos de endpoints
• Integrar telemetria do CrowdStrike com SIEM (Splunk, Elastic, Sentinel) para detecção correlacionada
• Solucionar problemas de conectividade, desempenho ou detecção do sensor

Não use esta habilidade para implantar outras soluções EDR (Carbon Black, SentinelOne) ou para proteção de cargas de trabalho em nuvem do Falcon (use guias de implantação específicos para nuvem).

Pré-requisitos

• Acesso ao console CrowdStrike Falcon com a função de Administrador do Falcon
• ID do Cliente (CID) e pacote instalador do sensor Falcon
• Acesso administrativo/root nos endpoints de destino
• Acesso à rede: os endpoints devem alcançar a nuvem do CrowdStrike (ts01-b.cloudsink.net na porta 443)
• Ferramenta de implantação: SCCM, Intune, GPO, Ansible ou instalação manual

Fluxo de Trabalho

Etapa 1: Obter Instalador do Sensor Falcon e CID

1. Log into Falcon Console: https://falcon.crowdstrike.com
2. Navigate: Host setup and management → Sensor downloads
3. Download the appropriate installer:
   - Windows: WindowsSensor_<version>.exe
   - macOS: FalconSensorMacOS_<version>.pkg
   - Linux: falcon-sensor_<version>_amd64.deb / .rpm
4. Copy the Customer ID (CID) from the Sensor downloads page
   - CID format: <32-char-hex>-<2-char-checksum>

Etapa 2: Implantar Sensor Falcon - Windows

Instalação silenciosa via linha de comando:

WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<YOUR_CID>

Implantação SCCM:

1. Create an Application in SCCM
2. Deployment type: Script Installer
3. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
4. Detection method: Registry key exists
   - HKLM\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default
5. Deploy to target collection
6. Deployment purpose: Required (for mandatory installation)

Implantação Microsoft Intune:

1. Navigate: Devices → Windows → Configuration profiles
2. Create Win32 app deployment
3. Upload .intunewin package (wrapped sensor installer)
4. Install command: WindowsSensor_7.18.17106.exe /install /quiet /norestart CID=<CID>
5. Detection rule: File exists C:\Windows\System32\drivers\CrowdStrike\csagent.sys
6. Assign to device group

Implantação GPO:

# Create startup script that checks for existing installation
$sensorPath = "C:\Windows\System32\drivers\CrowdStrike\csagent.sys"
if (-not (Test-Path $sensorPath)) {
    Start-Process -FilePath "\\fileserver\CrowdStrike\WindowsSensor.exe" `
      -ArgumentList "/install /quiet /norestart CID=<CID>" -Wait
}

Etapa 3: Implantar Sensor Falcon - Linux

# Debian/Ubuntu
sudo dpkg -i falcon-sensor_7.18.0-17106_amd64.deb
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# RHEL/CentOS
sudo yum install falcon-sensor-7.18.0-17106.el8.x86_64.rpm
sudo /opt/CrowdStrike/falconctl -s -f --cid=<YOUR_CID>
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor

# Verify sensor is running and connected
sudo /opt/CrowdStrike/falconctl -g --rfm-state
# Expected output: rfm-state=false (sensor is communicating with cloud)

Etapa 4: Implantar Sensor Falcon - macOS

# Install sensor package
sudo installer -pkg FalconSensorMacOS_7.18.pkg -target /

# Set CID
sudo /Applications/Falcon.app/Contents/Resources/falconctl license <YOUR_CID>

# Grant Full Disk Access and System Extension via MDM profile
# Required for macOS Ventura+ (manual approval or MDM PPPC profile)
# MDM payload: com.crowdstrike.falcon.Agent → SystemExtension + Full Disk Access

# Verify sensor status
sudo /Applications/Falcon.app/Contents/Resources/falconctl stats

Etapa 5: Configurar Políticas de Prevenção

No Console Falcon, navegue até Configuração → Políticas de Prevenção:

Configurações recomendadas da política de prevenção:

Machine Learning:
  - Cloud ML: Agressivo (proteção extra, pode aumentar falsos positivos)
  - Sensor ML: Moderado
  - Adware & PUP: Moderado

Proteção Comportamental:
  - On Write: Habilitado (detecta malware na criação de arquivos)
  - On Sensor ML: Habilitado
  - Interpreter-Only: Habilitado (detecta ataques baseados em script)

Mitigação de Exploit:
  - Proteção de comportamento de exploit: Habilitado
  - Verificação de memória: Habilitado (detecta ataques na memória)
  - Injeção de código: Habilitado


…