Seguir Para una extracción dirigida, ejecuta tu consulta en la Búsqueda Avanzada de Eventos de Falcon y exporta los resultados como JSON. Para telemetría bruta en volumen, Falcon Data Replicator (FDR) entrega tus eventos a un bucket S3 como JSON comprimido en gzip, un evento por línea. Ten en cuenta lo que estás obteniendo: la propia telemetría del sensor de Falcon (eventos de proceso, red, DNS, inicio de sesión), no los registros originales de Windows o Linux de los hosts.
La telemetría de Falcon es uno de los conjuntos de datos de endpoint más ricos que tiene un SOC, y a menudo es lo primero que un socio IR solicita. Prime Core tiene 23,742 reglas de detección para datos de CrowdStrike, asignadas a 674 técnicas de MITRE ATT&CK. A continuación se muestra cómo extraerlo, limpiar y analizarlo de forma gratuita en LogTotal.
Antes de empezar
Acceso. La búsqueda de eventos necesita un rol de Falcon que lo permita. FDR requiere su propia suscripción, además de un cliente API con alcance FDR; CrowdStrike te proporciona el bucket, la cola y las credenciales.
Retención. El alcance temporal de los datos de eventos depende de tu suscripción, generalmente va desde días hasta unos pocos meses. Verifica antes de prometer a alguien el historial.
Nombres de eventos. La telemetría de Falcon está organizada por event_simpleName. Los que más utilizarás: ProcessRollup2 (inicio de proceso), NetworkConnectIP4, DnsRequest, UserLogon. Conocerlos hace que las consultas sean mucho más rápidas de escribir.
La documentación de CrowdStrike se encuentra detrás del inicio de sesión de Falcon. Esta guía está basada en ella, además de los proyectos públicos FalconPy y FDR, revisados en octubre de 2026.
Opción 1: Búsqueda Avanzada de Eventos
Delimita la consulta de manera precisa, y no la reduzcas con table() antes de exportar, porque eso elimina campos:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Establece el rango de tiempo, ejecuta la búsqueda, luego exporta los resultados como JSON o CSV. Si se selecciona CSV, especifica en ‘Campos a exportar’ elija ‘Seleccionar todo.
Opción 2: Falcon Data Replicator (volumen)
FDR es la ruta para el volumen. CrowdStrike escribe lotes de archivos JSON comprimidos en un bucket S3 y anuncia cada nuevo lote en una cola SQS. Para recolección continua, consume la cola (CrowdStrike publica un consumidor de ejemplo). Para una sola vez, lista el bucket, elige los lotes que cubran tu ventana, y descárgalos:
export AWS_ACCESS_KEY_ID='<clave de acceso FDR>'
export AWS_SECRET_ACCESS_KEY='<secreto FDR>'
aws s3 ls s3://<fdr-bucket>/<prefijo>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefijo>/<lote>/ ./fdr/ --recursive
Luego filtra al host que te interesa, por su ID de agente:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl
Cada línea es un evento. El volumen de FDR se acumula rápidamente, así que filtra por aid y event_simpleName antes de cargar.
Paso 3: Cargar, limpiar y revisar en LogTotal
- Cargar. Abrir logtotal.com y suelta el archivo .jsonl.
- Limpiar.
- Revisar.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Sin opción de exportación, o los resultados están limitados | Permisos de rol o un límite de UI | Verifica tu rol; divide el rango de tiempo; usa FDR para volumen |
| Nada más antiguo que una cierta fecha | Retención de suscripción | Verifica los archivos de FDR o tu SIEM |
| Acceso denegado en el bucket FDR | Credenciales rotadas, o FDR no habilitado | Obtén las credenciales actuales de FDR |
| Faltan campos que esperabas | table() los recortó | Exporta sin table() |
| Los archivos FDR son enormes | Sin filtrado | Filtrar por aid y event_simpleName |
FAQ
¿Puedo obtener registros de eventos de Windows fuera de Falcon?
No de la telemetría del sensor: Falcon no recopila registros de eventos de Windows sin procesar por defecto. Expórtalos desde el host
¿Qué pasa con las detecciones y alertas?
Esas están disponibles a través de la API de Falcon (FalconPy lo facilita), pero son alertas, no telemetría cruda. Para LogTotal, exporta los eventos detrás de ellas.
