Suivre Pour un extrait ciblé, exécutez votre requête dans la recherche avancée d’événements de Falcon et exportez les résultats au format JSON. Pour une télémétrie brute en masse, Falcon Data Replicator (FDR) livre vos événements dans un compartiment S3 au format JSON compressé, un événement par ligne. Gardez à l’esprit ce que vous obtenez : la propre télémétrie des capteurs de Falcon (processus, réseau, DNS, événements de connexion), pas les journaux Windows ou Linux originaux des hôtes.
La télémétrie de Falcon est parmi les données de point de terminaison les plus riches qu’un SOC possède, et c’est souvent la première chose qu’un partenaire IR demande. Prime Core dispose de 23 742 règles de détection pour les données CrowdStrike, mappées à 674 techniques MITRE ATT&CK. Voici comment les extraire, les assainir et les analyser gratuitement dans LogTotal.
Avant de commencer
Accès. La recherche d’événements nécessite un rôle Falcon qui le permet. FDR a besoin de son propre abonnement, ainsi que d’un client API avec une portée FDR ; CrowdStrike vous fournit le compartiment, la file d’attente et les identifiants.
Rétention. Jusqu’où remonte les données des événements dépend de votre abonnement, souvent de quelques jours à quelques mois. Vérifiez avant de promettre un historique à quelqu’un.
Noms des événements. La télémétrie de Falcon est organisée par event_simpleName. Ceux que vous utiliserez le plus : ProcessRollup2 (démarrage de processus), NetworkConnectIP4, DnsRequest, UserLogon. Les connaître rend la rédaction des requêtes beaucoup plus rapide.
La documentation de CrowdStrike se trouve derrière la connexion Falcon. Ce guide est basé sur celle-ci, ainsi que sur les projets publics FalconPy et FDR, vérifiés en octobre 2026.
Option 1 : Recherche avancée d’événements
Ciblez bien la requête, et ne la réduisez pas avec table() avant l’exportation, car cela supprime des champs :
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Définissez la plage de temps, exécutez la recherche, puis exportez les résultats en JSON ou CSV. Si CSV est sélectionné, spécifiez dans ‘Champs à exporter’, choisissez ‘Sélectionner tout’.
Option 2 : Falon Data Replicator (en masse)
FDR est la voie pour le volume. CrowdStrike écrit des lots de fichiers JSON compressés dans un compartiment S3 et annonce chaque nouveau lot sur une file d’attente SQS. Pour une collecte continue, consommez la file d’attente (CrowdStrike publie un exemple de consommateur). Pour un cas unique, répertoriez le compartiment, choisissez les lots couvrant votre fenêtre temporelle et téléchargez-les :
export AWS_ACCESS_KEY_ID='<clé d'accès FDR>'
export AWS_SECRET_ACCESS_KEY='<secret FDR>'
aws s3 ls s3://<compartiment-fdr>/<préfixe>/ --recursive | less
aws s3 cp s3://<compartiment-fdr>/<préfixe>/<lot>/ ./fdr/ --recursive
Puis filtrez vers l’hôte qui vous intéresse, par son ID d’agent :
zcat ./fdr/*.gz | jq -c 'select(.aid == "<id-agent>")' > ws042_fdr.jsonl
Chaque ligne est un événement. Le volume FDR s’accumule rapidement, alors filtrez par aid et event_simpleName avant de télécharger.
Étape 3 : Téléverser, assainir et réviser dans LogTotal
- Téléverser. Ouvrir logtotal.com et déposez le fichier .jsonl.
- Assainir.
- Réviser.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Pas d’option d’exportation, ou les résultats sont limités | Permissions de rôle ou limite de l’interface utilisateur | Vérifiez votre rôle ; divisez la plage temporelle ; utilisez FDR pour le volume |
| Rien de plus ancien qu’une certaine date | Rétention de l’abonnement | Vérifiez les archives FDR ou votre SIEM |
| Accès refusé sur le compartiment FDR | Identifiants tournés, ou FDR non activé | Obtenez les identifiants FDR actuels |
| Des champs attendus manquent | table() les a supprimés | Exportez sans table() |
| Les fichiers FDR sont énormes | Pas de filtrage | Filtrez par aid et event_simpleName |
FAQ
Puis-je obtenir des journaux d’événements Windows hors de Falcon ?
Pas à partir de la télémétrie des capteurs : Falcon ne collecte pas par défaut les journaux d’événements Windows bruts. Exportez-les depuis l’hôte
Qu’en est-il des détections et des alertes ?
Elles sont disponibles via l’API Falcon (FalconPy facilite cela), mais ce sont des alertes, pas de la télémétrie brute. Pour LogTotal, exportez les événements qui les sous-tendent.
