跳转到主要内容
CrowdStrike Falcon 没有内置的通用告警 webhook：检测通知通过 Falcon Fusion SOAR 工作流投递，请求体完全由用户在工作流里编写。本集成提供两段可直接粘贴的工作流请求体模板（NG-SIEM 检测、EPP 检测），模板使用的是 CrowdStrike 官方 Fusion 参考中列出的触发器变量。

在 Flashduty On-call

您可通过以下两种方式获取集成推送地址，任选其一即可。

使用专属集成

  1. 进入 Flashduty 控制台，选择 协作空间，打开一个协作空间
  2. 选择 配置 → 集成数据 → 专属集成，点击 新增集成
  3. 选择 CrowdStrike，点击 保存
  4. 打开生成的集成卡片，复制 推送地址

使用共享集成

  1. 进入 Flashduty 控制台，选择 集成中心 → 告警事件
  2. 选择 CrowdStrike，填写集成名称
  3. 配置默认路由并选择协作空间；创建后可在 路由 中增加更多规则
  4. 点击 保存，复制生成的 推送地址

在 CrowdStrike Falcon 中配置

以下操作需要能在 Falcon 控制台创建和发布（Release）Fusion SOAR 工作流的权限；NG-SIEM 检测触发器需要开通 Next-Gen SIEM 模块，EPP 检测触发器需要 Falcon Insight/Prevent 端点检测能力。Falcon 云端需要能访问推送地址所在的域名。
1

创建 NG-SIEM 检测工作流

操作路径：Falcon 控制台 › Fusion SOAR › Workflows › Create workflow登录 Falcon 控制台后进入 Fusion SOAR → Workflows（部分租户显示为 NEXT-GEN SIEM → Automated workflows），点击 Create workflow。Body 的 Content type 选 JSON，内容如下：
保存并 Release（发布）工作流——只保存为草稿不会真正执行。字段名不要修改，detection_id 必须保留。Fusion 会把 ${...} 的值原样填入 JSON 字符串，未发现官方提供的 JSON 转义函数。检测名称等自由文本字段若含双引号 " 或反斜杠 \，请求体将不是合法 JSON，本次推送会以 400 被拒绝。detection_id 为必填，severity 和 name 可省略（省略时告警标题为 CrowdStrike detection），如检测名称可能含此类字符，建议从请求体中删除 name 行。
2

（可选）创建 EPP 检测工作流

操作路径：Falcon 控制台 › Fusion SOAR › Workflows › Create workflow如果还需要接入终端防护（EPP）检测，重复上一步创建第二个工作流，触发器改为 Detection → EPP Detection，请求体改为：
3

验证

确认工作流已 Release 后，等待 Falcon 产生一条真实检测（或在测试端点上触发一次良性的测试检测）。Flashduty 收到该检测的告警，标题为检测名称，等级按 severity 映射。手工构造的请求（例如用 curl 按上面的模板发送）只能验证网络连通和字段解析，不能验证工作流本身；以真实检测为准。

Alert Key

Flashduty 使用请求体中的 detection_id 作为 Alert Key。这个字段对应 Falcon Fusion 触发器变量 ${data['Trigger.Detection.DetectionID']}。CrowdStrike 官方 Fusion 工作流开发参考对 NG-SIEM 检测触发器的这个路径标注为”release-verified”（工作流发布时会校验该路径存在），对 EPP 检测触发器则只列为常用字段。
  • 同一检测多次触发（例如级别从 High 升级到 Critical）落在同一条告警上
  • 不同检测（detection_id 不同）不会合并
请求缺少 detection_id，或 severity 非空且不是 Critical/High/Medium/Low/Informational 之一时，Flashduty 会拒绝该请求。 Falcon Fusion 没有携带检测 ID 的”检测已关闭”触发器，因此本集成是一次性事件：Flashduty 不会因为检测在 Falcon 中被关闭而自动关闭告警。请给对应的协作空间开启超时自动关闭，安全类检测建议 24 小时；同一检测在超时内再次触发会刷新同一条告警。

状态和告警等级

告警内容

  • 标题：name（检测名称），缺失时使用 CrowdStrike detection
  • 标签：detection_id、product（NGSIEM 或 EPP）、severity_raw（原始 severity 值）；NG-SIEM 模板另带 source_url；EPP 模板另带 host（hostname）、process_sha256、ioc_value、ioc_type
  • resource：取 hostname；没有 hostname 时（NG-SIEM 模板不发送它）取 detection_id
值为空的字段不会写入标签。

排查问题

  • 工作流没有报错但 Flashduty 没收到告警：确认工作流已点击 Release 发布，而不是仅保存草稿——草稿状态的工作流不会执行
  • HTTP Action 报错，日志中出现 400：检查请求体字段名是否与上文模板完全一致；响应内容会说明被拒绝的原因（例如 detection_id is required）
  • HTTP Action 提示 “unknown variable” / “property … contains unknown variable”：说明这个变量路径在您的检测类型/触发器下不可用，用 Falcon 控制台的变量选择器确认该触发器实际能取到的字段，替换成可用路径
  • 告警一直不关闭：本集成不会收到关闭事件，请按上文「Alert Key」一节开启超时自动关闭
参阅 CrowdStrike 官方资料：Build API integrations with Falcon Fusion SOAR HTTP Actions、CrowdStrike 官方 GitHub fusion-skills（工作流触发器与 HTTP Action 的字段参考）。