# Fiche connecteur CrowdStrike Falcon
Catalogue Pipedream : connexion du compte et droits nécessaires. Les actions réellement utilisables sont vérifiées dans Bruno lors de la connexion. Les déclencheurs sont documentés à titre de référence et ne sont pas activés automatiquement dans Bruno.
Les noms et données des exemples sont fictifs ; toute exécution reste soumise aux droits et aux validations du connecteur.

## CrowdStrike Falcon
URL : https://get-bruno.com/features/connectors/crowdstrike-falcon
Référence texte : https://get-bruno.com/features/connectors/crowdstrike-falcon/reference.txt
Origine : Catalogue Pipedream
Statut : Catalogue Pipedream — connexion à vérifier
Catégories : Sécurité
Description : CrowdStrike Falcon est une plateforme de cybersécurité cloud qui expose des alertes, des hôtes et des commandes Real-Time Response. Elle sert à rechercher des événements de sécurité, lire l’état d’un poste et lancer des actions ciblées sur un hôte identifié.
Authentification : OAuth
Présentation : CrowdStrike Falcon est une plateforme de cybersécurité cloud qui expose des alertes, des hôtes et des commandes Real-Time Response. Elle sert à rechercher des événements de sécurité, lire l’état d’un poste et lancer des actions ciblées sur un hôte identifié.
Usage : Consulter une alerte de sécurité précise
Exemple de demande : Je veux retrouver l’alerte liée au poste Atelier Martin à partir de son identifiant d’alerte, puis lire le détail complet de cette alerte.
Résultat attendu : Un enregistrement complet d’alerte est renvoyé quand l’identifiant composite est fourni.
À préciser : L’identifiant de l’alerte ou une recherche préalable pour le retrouver. ; Le périmètre de lecture demandé, limité aux alertes visées.
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/crowdstrike-falcon/actions/search-alerts ; https://pipedream.com/apps/crowdstrike-falcon/actions/get-alert
Usage : Vérifier l’état d’un poste
Exemple de demande : Je veux rechercher le poste portable de Sophie Dubois, puis récupérer sa fiche pour vérifier son nom d’hôte, son état de confinement et son état de santé capteur.
Résultat attendu : Une fiche d’appareil détaillée est renvoyée pour l’hôte trouvé.
À préciser : Un critère de recherche sur le poste, comme le nom d’hôte ou un autre filtre de recherche. ; L’identifiant de l’appareil si la recherche a déjà renvoyé un résultat précis.
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/crowdstrike-falcon/actions/search-hosts ; https://pipedream.com/apps/crowdstrike-falcon/actions/get-host
Usage : Mettre un hôte en confinement
Exemple de demande : Je veux identifier le poste suspect d’Atelier Martin, puis lancer sa mise en confinement après vérification de son identifiant.
Résultat attendu : L’action de confinement peut être appliquée à un ou plusieurs hôtes ciblés à partir de leurs identifiants.
À préciser : L’identifiant de l’hôte trouvé par recherche ou par consultation de fiche. ; La décision métier de mettre le poste en confinement.
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/crowdstrike-falcon/actions/search-hosts ; https://pipedream.com/apps/crowdstrike-falcon/actions/manage-host-containment
Limites propres au service : Le détail complet d’une alerte nécessite d’abord un identifiant d’alerte trouvé par recherche. Le détail complet d’un hôte nécessite d’abord un identifiant d’appareil trouvé par recherche ou consultation. La commande Real-Time Response exige un droit RTR et un identifiant de session ou de requête cloud pour lire le résultat. La gestion de confinement agit sur des hôtes identifiés et ne doit pas être demandée sans préparation préalable.
Vocabulaire français : Obtenir une alerte — Récupère le détail complet d’une alerte Falcon à partir d’un ou plusieurs identifiants composites d’alerte. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-alert)
Vocabulaire français : Obtenir un hôte — Récupère la fiche complète d’un appareil Falcon à partir d’un ou plusieurs identifiants d’appareil, avec le nom d’hôte, la version du système, la version de l’agent et l’état de confinement. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-host)
Vocabulaire français : Obtenir le statut d’une commande RTR — Récupère le statut et la sortie d’une commande Real-Time Response à partir du cloud_request_id retourné par l’exécution. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-rtr-command-status)
Vocabulaire français : Gérer le confinement d’un hôte — Déclenche la gestion de confinement d’un ou plusieurs hôtes Falcon à partir de leurs identifiants et d’une action de confinement. (https://pipedream.com/apps/crowdstrike-falcon/actions/manage-host-containment)
Vocabulaire français : Exécuter une commande RTR — Ouvre une session Real-Time Response sur un hôte puis exécute une commande en lecture seule, avec retour du session_id et du cloud_request_id. (https://pipedream.com/apps/crowdstrike-falcon/actions/run-rtr-command)
Vocabulaire français : Rechercher des alertes — Recherche des alertes Falcon et renvoie leurs identifiants pour permettre ensuite la consultation du détail complet. (https://pipedream.com/apps/crowdstrike-falcon/actions/search-alerts)
Vocabulaire français : Rechercher des hôtes — Recherche des hôtes Falcon et renvoie des fiches d’appareil complètes pour cibler ensuite un hôte précis. (https://pipedream.com/apps/crowdstrike-falcon/actions/search-hosts)
Vocabulaire français : Changement d’état d’un hôte — Déclenche un événement pour chaque hôte dont l’état a changé selon un filtre FQL fourni par l’utilisateur. (https://pipedream.com/apps/crowdstrike-falcon/triggers/host-status-changed)
Vocabulaire français : Nouvelle alerte — Déclenche un événement pour chaque nouvelle alerte Falcon créée depuis la dernière exécution, avec possibilité de filtrer certains produits d’alerte. (https://pipedream.com/apps/crowdstrike-falcon/triggers/new-alert)
- action : Get Alert — Retrieve full CrowdStrike Falcon alert records for one or more alert composite IDs via GET /alerts/entities/alerts/v1 (max 1000 per request). Use Search Alerts to find alert IDs first. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-alert)
- action : Get Host — Retrieve full CrowdStrike Falcon device records for one or more device IDs via GET /devices/entities/devices/v2, including hostname, os_version, agent_version, status (containment status) and reduced_functionality_mode (sensor health). Use Search Hosts to find device IDs first. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-host)
- action : Get RTR Command Status — Retrieve the status and output of a Real-Time Response command via GET /real-time-response/entities/command/v1, returning stdout, stderr and completion status. Provide the cloud_request_id returned by Run RTR Command . Requires an RTR entitlement. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/get-rtr-command-status)
- action : Manage Host Containment — Manage host containment on one or more CrowdStrike Falcon hosts via POST /devices/entities/devices-actions/v2 ( action_name query param, ids body). Use Search Hosts or Get Host to find device IDs. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/manage-host-containment)
- action : Run RTR Command — Initiate a Real-Time Response (RTR) session on a host and execute a read-only responder command. Calls POST /real-time-response/entities/sessions/v1 to open the session, then POST /real-time-response/entities/command/v1 to run the command; returns the session_id and cloud_request_id. Use Get RTR Command Status with the returned cloud_request_id to fetch results. Requires an RTR entitlement. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/run-rtr-command)
- action : Search Alerts — Search CrowdStrike Falcon alerts and return their IDs via GET /alerts/queries/alerts/v2. Detections are now delivered through the Alerts API (the legacy /detects/* collection was decommissioned), so filter on the alert product to retrieve endpoint detections. Use Get Alert to hydrate the returned IDs into full records. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/search-alerts)
- action : Search Hosts — Search CrowdStrike Falcon hosts and return full device records via GET /devices/combined/devices/v1, including status (containment status), reduced_functionality_mode and other sensor-health fields. Use Get Host to retrieve a specific device by ID. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/actions/search-hosts)
- trigger : Host Status Changed — Emit new event for each host matching a user-supplied FQL filter that has not been emitted in a prior run. Polls GET /devices/combined/devices/v1 (returns full device records including status /containment status and sensor-health fields) and deduplicates on a deviceId-modified_timestamp composite so only genuinely changed hosts emit. Covers both sensor-health and containment-status scenarios via the filter prop. See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/triggers/host-status-changed)
- trigger : New Alert — Emit new event for each CrowdStrike Falcon alert created since the last run. Polls GET /alerts/queries/alerts/v1 (GetQueriesAlertsV2) for alert IDs newer than the stored created_timestamp checkpoint, then hydrates them via POST /alerts/entities/alerts/v1 (PostEntitiesAlertsV2, body field composite_ids ). Use the optional FQL filter to narrow to specific alert products (e.g. legacy endpoint detections, now surfaced through the Alerts API). See the documentation. (https://pipedream.com/apps/crowdstrike-falcon/triggers/new-alert)