Guía de Exclusiones de CrowdStrike
Audiencia
Este documento está dirigido a los Equipos de Seguridad y TI, responsables de mantener la protección de endpoints y garantizar el funcionamiento fluido de los Agentes BEAK dentro de sus entornos administrados.
Objetivo
Garantizar el correcto funcionamiento del Agente BEAK en su entorno, manteniendo al mismo tiempo una sólida protección de endpoints con CrowdStrike Falcon.
Por Qué Esto Es Importante
Es posible que ya haya permitido los archivos beak*.exe en: C:\Program Files (x86)\Beak\
Sin embargo, Falcon puede seguir marcando procesos secundarios como PowerShell o WMIC activados por BEAK (por ejemplo, durante la recuperación de información de GPU o hardware).
Este es el comportamiento esperado del motor de detección avanzada de Falcon, que se centra en la actividad de comportamiento, no solo en los ejecutables.
Esta guía proporciona un método seguro y preciso para resolver estas alertas mediante la configuración de exclusiones específicas.
Resolución Paso a Paso
Paso 1: Comprender la Detección
- Abra la Consola de Falcon.
- Vaya a Activity → Detections.
- Busque las alertas relacionadas con BEAK y tome nota de lo siguiente:
- Proceso principal:
beakagent.exe - Proceso secundario: p. ej.,
powershell.exe,wmic.exe - Línea de comandos activada
- Tipo de detección: p. ej., Recon Tool, Suspicious Process
- Proceso principal:
Esta información ayudará a crear una regla de exclusión específica y segura.
Paso 2: Crear una Exclusión IOA Personalizada
-
Navegue a:
Configuration → Prevention Policies → [Su Política de Windows] → Custom IOAs → Add Exclusion -
Utilice los siguientes valores para definir la regla:
| Campo | Valor |
|---|---|
| Process Executable | beak*.exe |
| Path | C:\Program Files (x86)\Beak\ |
| Child Process | powershell.exe, wmic.exe, cmd.exe |
| Detection Type | Según la alerta |
| Action | Allow |
| Scope | Solo el grupo de hosts de BEAK (recomendado) |
Falcon ofrece una prueba integrada para validar el patrón antes de guardar.
Paso 3: Permitir la Comunicación del Backend de BEAK
Asegúrese de que los siguientes dominios y puertos estén abiertos para el acceso saliente desde los sistemas con BEAK instalado:
| Dominio | Puerto | Protocolo | Propósito |
|---|---|---|---|
apps-uat.beakops.com | 443 | TCP | Comunicación con la API |
uat-ras.beakops.com | 443 | TCP / WebSocket | Acciones remotas |
beakstreamdemobootstrap.westus2.cloudapp.azure.com | 9094 | TCP | Backend de streaming |
beakstream-bk0-demo.westus2.cloudapp.azure.com | 9094 | TCP | Backend de streaming |
beakstream-bk1-demo.westus2.cloudapp.azure.com | 9094 | TCP | Backend de streaming |
beakstream-bk2-demo.westus2.cloudapp.azure.com | 9094 | TCP | Backend de streaming |
Si utiliza Falcon Firewall Management:
- Vaya a Configuration → Firewall Policies → Add Rule
- Cree una regla Outbound Allow para cada dominio/puerto.
Si no utiliza el firewall de Falcon, replique estas reglas en su infraestructura de firewall existente.
Paso 4 (Opcional): Confiar en los Ejecutables de BEAK mediante Certificado o Hash
Si los ejecutables de BEAK están firmados:
- Vaya a Configuration → Indicators → Certificates.
- Agregue el certificado del editor de BEAK para confiar en los archivos firmados de forma global.
O bien, para confiar en hashes específicos:
Get-FileHash "C:\Program Files (x86)\Beak\beakagent.exe" -Algorithm SHA256
Luego, agregue el hash a la lista de permitidos en Indicators → Allowlist.
Este enfoque es útil si su organización prefiere un control granular o no utiliza certificados.
Paso 5: Probar y Confirmar
- Reinicie el sistema o el Agente BEAK.
- Vuelva a ejecutar las acciones anteriormente bloqueadas (p. ej., análisis de inventario de hardware).
- Confirme que:
- No aparecen nuevas detecciones en la Consola de Falcon.
Resumen de las Exclusiones Requeridas
| Tipo | Qué Excluir |
|---|---|
| Ejecutables | beak*.exe en Program Files |
| Procesos Secundarios | PowerShell, WMIC, CMD (cuando son activados por BEAK) |
| Comportamientos | Consultas del sistema como WMI, enumeración de GPU |
| Red | Dominios y puertos requeridos para la comunicación del agente |
| Confianza (Opcional) | Certificado de archivo o lista de permitidos de hash SHA-256 |
Notas Importantes
- Mantenga las exclusiones delimitadas: aplíquelas únicamente a los dispositivos que ejecutan el Agente BEAK para reducir el riesgo.
- Supervise los procesos secundarios: asegúrese de que no sean utilizados indebidamente por scripts externos.
- Utilice la confianza basada en certificados cuando sea posible.
- Documente todos los cambios (registros, capturas de pantalla, JSONs) para el cumplimiento normativo.
- Revise tras cada actualización de BEAK para asegurarse de que las exclusiones siguen siendo relevantes.
- Alinee con la política de seguridad de su organización e involucre al equipo SOC o de seguridad de la información antes de finalizar.
Enlaces de Referencia Útiles
| Tema | Enlace |
|---|---|
| Cómo crear exclusiones IOA (Red Canary) | How to Create Exclusions in CrowdStrike – Red Canary |
| Descripción general de Falcon Firewall Management | CrowdStrike Falcon Firewall Management Overview |
| API de IOA Personalizada de FalconPy | FalconPy Custom IOA API Documentation |
| Mejores prácticas de la comunidad | Community Best Practices – CrowdStrike Reddit Thread |