Розгортання сенсорів

Покроковий гайд по розгортанню CrowdStrike Falcon сенсора на цільові хости за допомогою Pike.

Підготовка

Через APIЛокальні файли

Pike може отримувати сенсори автоматично через CrowdStrike API. Для цього потрібні API credentials:

1. У Falcon Console перейдіть до Support and resources > API clients and keys
2. Створіть API client з scope Sensor Download: Read

Завантажте інсталяційні файли сенсора з Falcon Console:

1. Перейдіть до Host setup and management > Deploy > Sensor downloads
2. Завантажте потрібні файли:
   • .deb — для Ubuntu, Debian
   • .rpm — для RHEL, CentOS, Fedora, Rocky, AlmaLinux, Oracle, Amazon Linux, SUSE
   • .exe — для Windows

Не перейменовуйте файли сенсорів Linux

Pike визначає дистрибутив та архітектуру з імені файлу — наприклад, тег .el9.x86_64 у RPM або _amd64 у DEB. Якщо файл перейменовано, Pike не зможе коректно підібрати сенсор для цільового хоста.

Запуск сервера

Запустіть Pike подвійним кліком на бінарний файл або з терміналу:

pike

Відкриється GUI з екраном конфігурації.

Налаштування джерела сенсорів

Через APIЛокальні файли

Заповніть поля Client ID та Client Secret отриманими API credentials. Оберіть правильний Cloud регіон.

Cloud регіон

Переконайтеся, що вказали правильний cloud регіон. За замовчуванням використовується eu-1.

Pike автоматично отримає CID та завантажить потрібні сенсори на вимогу.

Натисніть кнопку вибору файлів та додайте завантажені файли сенсорів. Можна вказати декілька файлів одночасно для різних платформ — Pike автоматично підбере правильний для кожного хоста.

Заповніть поле CID (CrowdStrike Customer ID).

Sensor grouping tags

У секції Sensor можна вказати grouping tags через кому — вони будуть присвоєні сенсору під час встановлення. Це дозволяє фільтрувати хости у Falcon Console.

За замовчуванням Pike автоматично додає тег deployment/pike. Щоб вимкнути це, зніміть відповідний чекбокс у Advanced settings.

Додаткові параметри

• Port — HTTP порт сервера (за замовчуванням 8080)
• Timeout — таймаут розгортання у хвилинах (за замовчуванням 30, 0 = без обмежень)
• Max downloads — автоматична зупинка після N завантажень (0 = без обмежень)
• Auth — токен-автентифікація (увімкнена за замовчуванням)

Старт

Натисніть Start. Після запуску сервера Pike відобразить готові one-liner команди для Linux та Windows, які можна скопіювати та виконати на цільових хостах.

Встановлення на цільових хостах

Linux

На цільовому хості виконайте one-liner як root:

curl -fsS http://<server>:<port>/<token>/lin | sudo bash

Скрипт автоматично:

1. Перевіряє, чи сенсор вже встановлено
2. Визначає тип пакетного менеджера (dpkg/rpm) та дистрибутив
3. Реєструється на сервері Pike з інформацією про хост
4. Завантажує відповідний сенсор
5. Перевіряє SHA256 контрольну суму
6. Встановлює пакет (dpkg, dnf, zypper, yum або rpm)
7. Налаштовує CID
8. Запускає сервіс falcon-sensor

Windows

На цільовому хості виконайте one-liner як Administrator у PowerShell:

irm http://<server>:<port>/<token>/win | iex

Скрипт автоматично:

1. Перевіряє наявність прав адміністратора
2. Перевіряє, чи сенсор вже встановлено (сервіс CSFalconService)
3. Реєструється на сервері Pike
4. Завантажує інсталятор
5. Перевіряє SHA256 контрольну суму
6. Виконує тиху інсталяцію (/install /quiet /norestart)
7. Очищає тимчасові файли

Мережевий доступ

Цільові хости повинні мати мережевий доступ до сервера Pike по вказаному порту. Переконайтеся, що firewall не блокує з'єднання.

Масове розгортання

Для розгортання на велику кількість хостів one-liner можна виконати через існуючі інструменти автоматизації:

AnsibleSSH loopPowerShell Remoting

- name: Install CrowdStrike Falcon sensor
  ansible.builtin.shell: |
    curl -fsS http://{{ pike_server }}:{{ pike_port }}/{{ pike_token }}/lin | sudo bash
  args:
    creates: /opt/CrowdStrike/falconctl

for host in host1 host2 host3; do
  ssh "$host" "curl -fsS http://<server>:<port>/<token>/lin | sudo bash"
done

$hosts = @("host1", "host2", "host3")
Invoke-Command -ComputerName $hosts -ScriptBlock {
    irm http://<server>:<port>/<token>/win | iex
}

Моніторинг

Після старту сервера GUI відображає стан хостів у реальному часі зі статус-іконками:

Іконка	Статус	Опис
○	Registered	Хост зареєструвався, очікує сенсор
◐	Sensor Ready	Сенсор підібрано, очікується завантаження
●	Installed	Сенсор успішно встановлено
✕	Failed	Помилка встановлення

Якщо для хоста не знайдено сумісного сенсора, Pike поверне зрозуміле повідомлення про помилку, яке також відобразиться на цільовому хості у виводі інсталяційного скрипта.

CLI режим

У CLI режимі Pike виводить лог подій у stderr:

[192.168.1.50] POST /cb — webserver01 (deb, amd64, ubuntu 22)
[192.168.1.50] GET /s/falcon-sensor_7.20.0-17106_amd64.deb — 28.5 MB
[192.168.1.50] POST /done — webserver01: ok

Запуск у CLI режимі:

pike --sensor ./falcon-sensor.deb --cid <CID>

Або з API:

pike --client-id <ID> --client-secret <SECRET> --cloud eu-1