Wem gehört die entwickelte Foundry-App?

Dem Kunden. Die App läuft in der Falcon-Umgebung des Kunden; Quellcode und Dokumentation gehen mit der Übergabe über. Eine Weiterentwicklung durch ByteRay ist möglich, aber nicht erforderlich.

Woran lässt sich Foundry-Erfahrung überprüfen?

In der eigenen Falcon-Konsole unter Foundry › App catalog: Der ByteRay CQL Hub ist dort als zertifizierte App gelistet, also von CrowdStrike geprüft und für alle Falcon-Kunden freigegeben. Der öffentliche Query-Bestand ist zusätzlich unter cql-hub.com einsehbar.

Was Falcon nicht mitbringt, entwickeln wir hinein.

Falcon Foundry ist CrowdStrikes Entwicklungsplattform: Apps, die in Ihrer Falcon-Konsole laufen und auf Ihre Daten zugreifen, ohne eigene Infrastruktur. Wir entwickeln darauf, in Python und Go, mit einer von CrowdStrike zertifizierten App im offiziellen App Catalog.

Foundry-Projekt besprechen

Akuter Sicherheitsvorfall? 24/7-Notfall +49 89 2000 7683

This is some text inside of a div block.

Grundlage

Falcon Foundry: warum Sie es wahrscheinlich schon haben.

Foundry ist die Entwicklungsplattform innerhalb von Falcon. Apps laufen dort, wo Ihre Analysten ohnehin arbeiten, mit Zugriff auf Falcon-Daten und -APIs, ohne eigene Server, ohne zweites Login. Wer Falcon Prevent oder Insight XDR lizenziert hat, darf eine Foundry-App ohne Aufpreis betreiben. Die wenigsten wissen das.

Daten

Woher die App ihre Informationen nimmt

Anbindung fremder Systeme über deren API

Eigene Datenbestände direkt in der Plattform

Abfragen auf Ihre Next-Gen-SIEM-Daten

Logik

Was die App damit macht

Serverlose Funktionen in Python oder Go

Automatisierungen als wiederverwendbare Bausteine

Skripte, die auf Endpunkten ausgeführt werden

Oberfläche

Wo Ihr Team das Ergebnis sieht

Zusatzpanels in bestehenden Falcon-Ansichten

Eigene Seiten mit eigenem Menüeintrag

Dashboards auf Ihren Daten

Alles davon läuft innerhalb der Falcon-Konsole: kein zweites System, kein weiteres Login, keine Infrastruktur, die jemand betreiben und absichern muss, und keine Daten, die das Haus verlassen.

Der Beweis

Unsere App liegt bereits in Ihrer Konsole.

ByteRay CQL Hub ist eine von CrowdStrike zertifizierte Foundry-App im offiziellen App Catalog: geprüft, freigegeben und für jeden Falcon-Kunden installierbar.

Kuratierte Listen ins SIEM ohne Handarbeit

Tor-Exit-Nodes, Domains generativer KI-Dienste, AWS-IP-Bereiche: gepflegte Listen, die sich per Schalter auswählen und danach täglich automatisch ins Next-Gen SIEM synchronisieren lassen. Wer sie bisher manuell aktualisiert hat, weiß, wie oft das liegen bleibt.

Regeln, die sich vom Template entfernt haben

Eine aus einem CrowdStrike-Template erstellte Correlation Rule ist eine einmalige Kopie und bleibt nicht mit dem Template verbunden. Verbessert CrowdStrike das Template später, erfährt Ihre Regel davon nichts. Der Drift Checker vergleicht beides und zeigt zeilenweise, was auseinandergelaufen ist.

Dieselbe Erkennung, mehrfach im Betrieb

Aus einem Template lassen sich beliebig viele Regeln erzeugen. Manchmal ist das gewollt, oft ist es übersehene Doppelung: Dieselbe Logik läuft mehrfach, verbraucht Rechenzeit und wird getrennt voneinander getunt. Der Duplicate Checker gruppiert diese Fälle zur Durchsicht.

Foundry › App catalog

ByteRay CQL Hub

Authored by ByteRay GmbH

◉ Certified app

Use case: Threat intelligence
Vendor: ByteRay
Voraussetzung: Falcon Next-Gen SIEM

So steht der Eintrag in Ihrer eigenen Falcon-Konsole. Zertifizierung heißt: von CrowdStrike geprüft und für alle Kunden freigegeben, nicht selbst veröffentlicht.

Aus Projekten

Zwei Fragen, die Falcon vorher nicht beantworten konnte.

Beide Apps entstanden aus einem konkreten blinden Fleck im Betrieb. Kundennamen nennen wir nicht, die Ausgangslage und das Ergebnis schon.

Wer steckt hinter dem Konto im Alarm?

Ausgangslage

Ein Alarm meldet ein kompromittiertes Konto und nennt einen Benutzernamen. Wer dahintersteht, an welchem Standort die Person sitzt und wer ihre Führungskraft ist, steht im Personalsystem und nicht in Falcon. Jede Einordnung begann mit einer Rückfrage bei jemandem, der gerade nicht erreichbar war.

Was wir gebaut haben

Eine Foundry-App, die Personalstammdaten in die Falcon-Plattform holt und an die betroffene Identität hängt. Dieselbe App gleicht laufend die Konten aus Falcon Identity Protection gegen den aktiven Personalbestand ab.

Was jetzt anders ist

Der Kontext steht im Alarm, bevor jemand danach fragt. Und Konten von Personen, die das Unternehmen längst verlassen haben, fallen von selbst auf, statt erst im halbjährlichen Listenabgleich.

Der Angriff, der beim Lieferanten stattfindet.

Ausgangslage

Wird ein Zulieferer Opfer einer Ransomware-Gruppe, steht sein Name auf einer Leak-Seite, häufig Tage bevor er selbst kommuniziert. Wer davon erfährt, erfährt es zufällig: über die Presse, über einen Kollegen, manchmal gar nicht.

Was wir gebaut haben

Eine Foundry-App, die den Lieferantenbestand des Unternehmens laufend gegen die Veröffentlichungen bekannter Ransomware-Gruppen abgleicht und Überschneidungen als Alarm in Falcon meldet.

Was jetzt anders ist

Ein betroffener Lieferant erzeugt jetzt einen Alarm in Falcon, statt irgendwann in der Presse aufzutauchen. Zugänge lassen sich prüfen und Datenübergaben aussetzen, solange das noch etwas nützt.

Anspruch

Wo der Klick-Builder aufhört und Code anfängt.

In der Falcon-Konsole lassen sich Apps zusammenklicken, das ist gut gemacht und für vieles ausreichend. Sobald eine App aber eigene Oberflächen bekommen, größere Datenmengen verarbeiten oder in fremde Systeme greifen soll, endet der Klick-Weg. Ab dort arbeiten wir mit der Foundry CLI und schreiben Code.

Welche Rechte bekommt die App, und welche nicht?

Eine Foundry-App arbeitet mit Berechtigungen auf Ihre Falcon-Daten. Zu weit gefasst ist sie selbst ein Risiko. Zu eng gefasst bricht sie irgendwann zur Laufzeit ab, erfahrungsgemäß im Betrieb und nicht im Test.

Was passiert, wenn die Gegenstelle drei Tage nicht antwortet?

Sobald eine App fremde Systeme anspricht, erbt sie deren Probleme: Anfragelimits, Wartungsfenster, stille Formatwechsel. Ob eine App auch nach einem Jahr noch läuft, entscheidet sich an diesen Fällen.

Trägt das Datenmodell auch in zwei Jahren noch?

Eigene Datenbestände in der Plattform sind schnell angelegt. Schwieriger ist, was danach kommt: wachsende Datenmengen, geänderte Anforderungen, ein Lauf, der mittendrin abbricht und beim nächsten Mal genau dort weitermachen soll.

Was tut die App bei tausendfacher statt zehnfacher Datenmenge?

Serverlose Funktionen haben Zeit- und Speichergrenzen. Solange die Testumgebung klein ist, fällt das nie auf. In einer gewachsenen Produktivumgebung fällt es sofort auf, und zwar als Störung.

Wer pflegt das in einem Jahr?

Die Falcon-Plattform entwickelt sich weiter, Ihre Anforderungen auch. Eine App, die niemand mehr anfassen kann, ist ein Altsystem mit modernem Anstrich. Deshalb gehören Dokumentation und eine Einweisung Ihres Teams zum Projekt und nicht zum Angebot danach.

Rund vier Wochen

Anforderungsworkshop, Architektur, Entwicklung, Test, Übergabe

Python & Go

Über die Foundry CLI, inklusive eigener Seiten und Skripte

Dokumentiert übergeben

Ihr Team kann die App danach selbst betreiben und erweitern

Abgrenzung

Wann eine App nötig ist und wann ein Playbook reicht.

Stufe 1

Playbook aus einer Vorlage

Fusion SOAR bringt fertige Abläufe mit, die sich anpassen lassen. Für häufige Fälle reicht das aus.

Ohne uns machbar

Stufe 2

Playbook mit eigener Logik

Verzweigungen, Freigaben, Zeitsteuerung, definiertes Verhalten im Fehlerfall. Kein Code, aber Entwurfsarbeit.

Meist gemeinsam

Stufe 3

Eigener Baustein im Playbook

Wenn kein vorhandener Schritt das kann, was gebraucht wird: eine Foundry-Funktion, die als reguläre Aktion im Playbook zur Verfügung steht.

Entwicklung nötig

Stufe 4

Vollständige Foundry-App

Wenn eine ganze Funktion fehlt und nicht nur ein Ablauf: eigene Oberfläche, eigene Datenhaltung, eigene Auswertungen in der Falcon-Konsole.

Entwicklung nötig

Die meisten Anfragen landen bei Stufe 2 oder 3, und niemandem ist geholfen, wenn daraus ein App-Projekt gemacht wird. Wenn Sie noch nicht wissen, auf welcher Stufe Ihr Vorhaben liegt: unsere Seite zu Fusion SOAR beschreibt die unteren beiden Stufen im Detail.

Häufige Fragen

Was vor dem ersten Gespräch meist geklärt wird.

Was ist CrowdStrike Falcon Foundry?

Foundry ist die Entwicklungsplattform innerhalb der CrowdStrike-Falcon-Plattform. Damit lassen sich eigene Anwendungen bauen, die direkt in der Falcon-Konsole laufen, mit Zugriff auf Falcon-Daten und -APIs, mit eigener Oberfläche und ohne eigene Server. ByteRay entwickelt solche Apps für Kunden und betreibt mit dem ByteRay CQL Hub eine von CrowdStrike zertifizierte App im offiziellen Foundry App Catalog.

Brauchen wir dafür eine zusätzliche Lizenz?

Kunden mit Falcon Prevent oder Falcon Insight XDR dürfen eine Foundry-App ohne Aufpreis entwickeln und betreiben. Für mehrere Apps oder größeren Funktionsumfang ist eine Foundry-Berechtigung nötig; das klärt Ihr CrowdStrike-Ansprechpartner in wenigen Minuten. Einzelne Funktionen setzen zusätzliche Module voraus, etwa Next-Gen SIEM für Abfragen auf SIEM-Daten.

Wie lange dauert ein Foundry-Projekt?

Für eine klar abgegrenzte App rechnen wir mit rund vier Wochen, vom Anforderungsworkshop über Architektur und Entwicklung bis zu Test und Übergabe. Umfangreichere Vorhaben schneiden wir in Abschnitte, damit früh etwas Nutzbares in Ihrer Umgebung steht statt am Ende alles auf einmal.

Wem gehört die App am Ende?

Ihnen. Die App läuft in Ihrer Falcon-Umgebung; Quellcode und Dokumentation gehen mit der Übergabe an Sie über. Sie sind nicht darauf angewiesen, dass wir sie weiterentwickeln, und wir bauen sie so, dass das auch praktisch stimmt.

Wann ist Foundry das falsche Werkzeug?

Wenn ein Ablauf automatisiert werden soll, aber keine eigene Oberfläche und keine eigene Datenhaltung nötig ist, reicht meist ein Fusion-SOAR-Playbook: schneller gebaut, leichter zu pflegen, günstiger. Und wenn eine Anwendung fachlich gar nichts mit Sicherheit zu tun hat, gehört sie nicht in die Falcon-Konsole. Wir sagen das im Erstgespräch, auch wenn daraus das kleinere Projekt wird.

Woran erkennen wir, dass Sie das wirklich können?

Am schnellsten in Ihrer eigenen Falcon-Konsole: Unter Foundry › App catalog finden Sie den ByteRay CQL Hub, gekennzeichnet als zertifizierte App, also von CrowdStrike geprüft und für alle Kunden freigegeben, nicht von uns selbst veröffentlicht. Unser öffentlicher Query-Bestand ist zusätzlich unter cql-hub.com einsehbar.