Стежити Щоб виконати цільовий пошук, запустіть свій запит в Advanced Event Search Falcon і експортуйте результати у форматі JSON. Для масового сирого телеметричного потоку Falcon Data Replicator (FDR) доставляє ваші події в корзину S3 у вигляді стисненого JSON, по одній події на рядок. Пам’ятайте, що ви отримуєте: власну телеметрію сенсора Falcon (події процесу, мережі, DNS, входу), а не вихідні журнали Windows або Linux хостів.
Телеметрія Falcon є однією з найбагатших даних про кінцеві точки, які має SOC, і часто це перше, що запитує партнер IR. Prime Core має 23 742 правила виявлення для даних CrowdStrike, які зіставлені з 674 техніками MITRE ATT&CK. Нижче показано, як його отримати, очистити і безкоштовно досліджувати в LogTotal.
Перш ніж почати
Доступ. Пошук подій потребує ролі Falcon, яка це дозволяє. FDR потребує власної підписки та клієнта API з обсягом FDR; CrowdStrike надає вам корзину, чергу та облікові дані.
Зберігання. Тривалість даних про події залежить від вашої підписки, часто це дні до кількох місяців. Перевіряйте, перш ніж обіцяти комусь історію.
Назви подій. Телеметрія Falcon організована за event_simpleName. Найчастіше ви будете використовувати: ProcessRollup2 (початок процесу), NetworkConnectIP4, DnsRequest, UserLogon. Знання їх робить запити значно швидшими для написання.
Документація CrowdStrike знаходиться за входом в Falcon. Цей посібник базується на ній, а також на публічних проектах FalconPy та FDR, перевірених у жовтні 2026 року.
Варіант 1: Розширений пошук подій
Визначте межі запиту чітко, і не зменшуйте його за допомогою table() перед експортом, оскільки це видаляє поля:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Встановіть часовий діапазон, запустіть пошук, а потім експортуйте результати у форматі JSON або CSV. Якщо вибрано CSV, вкажіть у «Поля для експорту» оберіть «Вибрати все».
Варіант 2: Falcon Data Replicator (масовий)
FDR — це маршрут для великого обсягу. CrowdStrike записує партії стиснених файлів JSON у корзину S3 і оголошує кожну нову партію у черзі SQS. Для безперервного збору споживайте чергу (CrowdStrike публікує приклад споживача). Для одноразового дійства перерахуйтесь у корзині, оберіть партії, які покривають ваш інтервал, і завантажте їх:
export AWS_ACCESS_KEY_ID=''
export AWS_SECRET_ACCESS_KEY=''
aws s3 ls s3:/// / --recursive | less
aws s3 cp s3:/// / / ./fdr/ --recursive
Потім відфільтруйте до хоста, який вас цікавить, за його ідентифікатором агента:
zcat ./fdr/*.gz | jq -c 'select(.aid == "")' > ws042_fdr.jsonl
Кожен рядок – це одна подія. Обсяг FDR швидко зростає, тому фільтруйте за aid та event_simpleName перед завантаженням.
Крок 3: Завантаження, очікування та перегляд у LogTotal
- Завантажте. Відкрийте logtotal.com і завантажте файл .jsonl.
- Очистити.
- Огляньте.
Коли це йде не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Немає опції експорту, або результати обмежені | Дозволи ролі або обмеження UI | Перевірте свою роль; розділіть часовий діапазон; використовуйте FDR для обсягу |
| Немає нічого старше певної дати | Збереження підписки | Перевірте архіви FDR або свій SIEM |
| AccessDenied на корзині FDR | Облікові дані змінені, або FDR не увімкнутий | Отримайте поточні облікові дані FDR |
| Поля, які ви очікували, відсутні | table() обрізало їх | Експортуйте без table() |
| Файли FDR великі | Немає фільтрації | Фільтруйте за aid та event_simpleName |
FAQ
Чи можу я отримати журнали подій Windows з Falcon?
Не з телеметрії сенсора: Falcon не збирає сирі журнали подій Windows за замовчуванням. Експортуйте їх з хоста
А як щодо сповіщень і виявлень?
Вони доступні через Falcon API (FalconPy полегшує це), але це сповіщення, а не сирі телеметричні дані. Для LogTotal експортуйте події за ними.
