如何从CrowdStrike Falcon导出事件数据

为了进行有针对性的提取，请在 Falcon 的高级事件搜索中运行查询，并将结果导出为 JSON。对于大批量的原始遥测数据，Falcon Data Replicator (FDR) 会将您的事件以 gzip 压缩的 JSON 格式传送至 S3 存储桶，每行一个事件。请注意您所获得的是：Falcon 自己的传感器遥测数据（进程、网络、DNS、登录事件），而不是主机原始的 Windows 或 Linux 日志。

Falcon 遥测数据是 SOC 拥有的一些最丰富的终端数据，通常是 IR 合作伙伴首先要求的内容。Prime Core 为 CrowdStrike 数据提供了 23,742 条检测规则，对应 674 种 MITRE ATT&CK 技术。以下是如何提取、净化并在 LogTotal 中免费调查它的方法。

免费开始使用

开始之前

访问。 事件搜索需要一个允许的 Falcon 角色。FDR 需要自己的订阅，以及一个具有 FDR 范围的 API 客户端；CrowdStrike 提供了存储桶、队列和凭证。

保留。 事件数据的可追溯时间取决于您的订阅，通常是几天到几个月。在承诺任何历史数据之前，请检查。

事件名称。 Falcon 遥测数据按 event_simpleName 组织。您将最常用的有：ProcessRollup2（进程启动）、NetworkConnectIP4、DnsRequest、UserLogon。了解它们可以使查询编写更快。

CrowdStrike 的文档位于 Falcon 登录后。该指南基于它，加上公开的 FalconPy 和 FDR 项目，检查于 2026 年 10 月。

选项 1：高级事件搜索

紧密设置查询范围，不要在导出前用 table() 减少，因为这会删除字段：

#event_simpleName=ProcessRollup2 ComputerName=WS-042

设置时间范围，运行搜索，然后将结果导出为 JSON 或 CSV。如果选择了 CSV，请在“导出的字段”中指定选择“全选”。

选项 2：Falcon Data Replicator（批量）

FDR 是批量采集路线。CrowdStrike 将 gzip 压缩的 JSON 文件批量写入 S3 存储桶，并在 SQS 队列上公告每个新批次。对于连续采集，请消费队列（CrowdStrike 发布了一个示例消费者）。对于一次性采集，请列出存储桶，选择覆盖您时间窗口的批次，并下载它们：

export AWS_ACCESS_KEY_ID='<FDR 访问密钥>'
export AWS_SECRET_ACCESS_KEY='<FDR 密钥>'

aws s3 ls s3://<fdr-bucket>/<prefix>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefix>/<batch>/ ./fdr/ --recursive

然后通过其代理 ID 过滤到您关心的主机：

zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl

每行是一个事件。FDR 量很快就会累积，因此在上传之前按 aid 和 event_simpleName 过滤。

步骤 3：在 LogTotal 中上传、净化和审核

1. 上传。 打开 logtotal.com 并拖入 .jsonl 文件。
2. 净化。 
3. 审核。 

当出现问题时