CrowdStrike-Integration

The integration of UiPath Robot with the CrowdStrike Falcon endpoint protection platform has the following advantages:

Extended security posture for your organization - This means you can enhance the overall security framework of your organization.
Business continuity for your robot workforce - This ensures your robot workforce continues to function without interruption.
Improved visibility and analysis capabilities for your security team - The integration allows the security team to more easily monitor and analyze the actions of the robots.
Seamless technical integration - This minimizing potential technical issues.

Demo

The following demo shows how the integration provides an easy way to detect and selectively block any suspicious or malicious activity caused by the automation execution:

Prerequisites for activation

Version 2021.10 von Robot und Studio
Version 6.33 des CrowdStrike Falcon-Sensors
(Optional) Version 2021.10 des Orchestrators oder des Automation Cloud Orchestrators 1

Die Integration wird automatisch aktiviert, wenn sowohl UiPath Robot als auch der CrowdStrike Falcon-Sensor auf der Maschine installiert sind.

1 Wenn der Roboter mit einem Orchestrator verbunden ist, der älter als 2021.10 ist, werden die Felder TenantName, TenantKey und TenantId nicht an die CrowdStrike-Cloudkonsole gesendet.

Integration architecture

Data related to automation execution contains annotation metadata which is sent to the CrowdStrike Falcon sensor. From there, it is sent to the CrowdStrike management console where it can be reviewed by the security team. The integration is based on the following components, which are split between UiPath and CrowdStrike:

Metadata

The Robot sends the following metadata to CrowdStrike Falcon:

Orchestrator URL - The URL that the robot uses for the Orchestrator connection (e.g. https://cloud.uipath.com).
Tenant Name - The tenant in the Orchestrator instance used by the robot.
Folder Info - The folder in Orchestrator where the process is found.
Package Name - The name of the package used by the robot to run the automation.
Process Name - The name of the process run by the robot.
Process Key (ID) - The process key (identifier).
Machine Name - The machine name on which the automation is running on.
Windows-Benutzer – Der Windows-Benutzer, unter dem die Automatisierung ausgeführt wird.
Benutzername – Der Benutzername, unter dem die Automatisierung ausgeführt wird.
User's Email - The Orchestrator user's email that runs the job.
Job ID - The job id in Orchestrator for the running job.
Job Start Date - The date when the job was started.

This metadata provides CrowdStrike Falcon with necessary context and hints about how and where the automations run, aiding in assessing and analyzing security measures.

Integration status

The integration status of your CrowdStrike Robot protection could be one of the following:

Aktiviert – DerCrowdStrike -Schutz ist aktiviert; Für Maschinenvorlagen ist der EDR-Schutz auf allen Hostmaschinen aktiviert, die dieser Vorlage zugeordnet sind.
Nicht zutreffend – DerCrowdStrike -Schutz ist nicht aktiviert oder der Status ist nicht bekannt.
Gemischt (dieser Status wird nur für Maschinenvorlagen und nur auf der Seite Maschinen angezeigt) – Der CrowdStrike-Schutz ist auf einigen Hostmaschinen, die mit der Vorlage verbunden sind, aktiviert und auf anderen deaktiviert, oder der Status ist nicht verfügbar.

To see the integration status, access the following places:

Orchestrator, on the Tenant > Machines > Installed Versions & Logs page, check the EDR Protection column. It displays the status of your CrowdStrike Robot protection per machine or machine template over the last 30 days.
Assistant, hover over the tray icon.