技能介绍

解决的问题

在 CrowdStrike Falcon 平台上，安全工程师常面临几个实际痛点。传感器部署后策略配置不当，导致端点 CPU 飙升或误报泛滥；威胁狩猎缺乏结构化方法论，假设驱动的搜索难以复现；事件响应时遏制、根除、恢复各阶段操作零散，缺乏标准化 playbook；SIEM/SOAR 集成需要手动配置连接器和字段映射，费时且易出错。

核心能力与关键流程

这个技能围绕 Falcon 平台的六大模块展开：

平台配置 — 覆盖传感器部署、预防策略（Malware、Exploit、Ransomware、ML）调优、排除项管理。

威胁狩猎 — 遵循六阶段方法论：准备阶段提取 IOC 并验证传感器覆盖；侦察阶段用 Event Search 查询进程链和命令行；分析阶段将行为映射到 MITRE ATT&CK；验证阶段通过 Falcon X 沙箱确认恶意性；遏制阶段执行网络隔离和进程终止；文档化阶段生成包含时间线、TTP、影响范围的狩猎报告。

事件响应 — 六阶段 IR 生命周期：检测（验证警报、分类严重度）、分类（根据 CRITICAL/HIGH/MEDIUM/LOW 决定响应路径）、遏制（网络隔离、终止进程、阻断 C2）、根除（清除持久性、删除恶意文件、重置凭证）、恢复（从备份恢复、重新接入传感器、增强监控 72 小时）、经验教训（提取 IOC、添加自定义 IOA、更新 playbook）。

检测工程 — 检测到预防的四阶段管道：新 IOA 确认 → 范围扫描 → 以 DETECT 模式部署并监控 14 天 → 根据误报率切换到 PREVENT 模式或调优阈值。

集成与情报 — Falcon API（OAuth2）对接 Splunk/Elastic/Sentinel，Falcon Fusion 设计 SOAR playbook；Falcon X 用于恶意软件分析、IOC 管理和威胁行为者画像。

适用边界与注意点

这个技能是方法论 + 操作指南，不是自动化执行工具。所有查询和操作都需要在 Falcon Console 中手动执行。传感器离线、策略冲突、查询超时等故障排查参考内置错误处理表。关键原则包括：始终以攻击者视角推理（Adversary-First）、遵守 1-10-60 响应时限、信任 ML 行为检测而非仅依赖哈希。对于 APT 或国家级威胁，立即升级到 OverWatch + CISO + Legal。