Folgen Für einen gezielten Abruf führen Sie Ihre Abfrage in Falcons Advanced Event Search aus und exportieren die Ergebnisse als JSON. Für große Rohtelemetriedaten liefert Falcon Data Replicator (FDR) Ihre Ereignisse als gezippte JSON-Dateien in einen S3-Bucket, ein Ereignis pro Zeile. Beachten Sie, was Sie erhalten: Falcons eigene Sensortelemetrie (Prozess-, Netzwerk-, DNS-, Anmeldeereignisse), nicht die ursprünglichen Windows- oder Linux-Protokolle der Hosts.
Falcon-Telemetrie ist einige der reichhaltigsten Endpunktdaten, die ein SOC hat, und es ist oft das Erste, wonach ein IR-Partner fragt. Prime Core hat 23.742 Erkennungsregeln für CrowdStrike-Daten, die 674 MITRE ATT&CK-Techniken zugeordnet sind. Unten sehen Sie, wie Sie diese herausbekommen, bereinigen und kostenlos in LogTotal untersuchen können.
Bevor Sie beginnen
Zugriff. Für die Ereignissuche ist eine Falcon-Rolle erforderlich, die dies erlaubt. FDR benötigt ein eigenes Abonnement sowie einen API-Client mit FDR-Bereich; CrowdStrike stellt den Bucket, die Warteschlange und die Anmeldedaten zur Verfügung.
Aufbewahrung. Wie weit die Ereignisdaten zurückreichen, hängt von Ihrem Abonnement ab, oft von Tagen bis zu einigen Monaten. Überprüfen Sie dies, bevor Sie jemandem etwas zusagen.
Ereignisnamen. Falcon-Telemetrie ist nach event_simpleName organisiert. Die am häufigsten verwendeten: ProcessRollup2 (Prozessstart), NetworkConnectIP4, DnsRequest, UserLogon. Diese zu kennen, macht Abfragen viel schneller zu schreiben.
Die Dokumentation von CrowdStrike befindet sich hinter dem Falcon-Login. Dieser Leitfaden basiert darauf sowie auf den öffentlichen FalconPy- und FDR-Projekten, überprüft im Oktober 2026.
Option 1: Erweiterte Ereignissuche
Grenzen Sie die Abfrage ein und reduzieren Sie diese nicht mit table() vor dem Exportieren, da dies Felder entfernt:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Legen Sie den Zeitbereich fest, führen Sie die Suche aus und exportieren Sie dann die Ergebnisse als JSON oder CSV. Wenn CSV ausgewählt ist, geben Sie in ‚Felder zum Exportieren‘ an, wählen Sie ‚Alle auswählen‘.
Option 2: Falcon Data Replicator (bulk)
FDR ist der Weg für das Volumen. CrowdStrike schreibt Chargen von gezippten JSON-Dateien in einen S3-Bucket und gibt jede neue Charge auf einer SQS-Warteschlange bekannt. Für die kontinuierliche Sammlung verbrauchen Sie die Warteschlange (CrowdStrike veröffentlicht ein Konsumentenbeispiel). Für einen einmaligen Vorgang listen Sie den Bucket auf, wählen die Chargen aus, die Ihr Fenster abdecken, und laden diese herunter:
export AWS_ACCESS_KEY_ID='<FDR access key>'
export AWS_SECRET_ACCESS_KEY='<FDR secret>'
aws s3 ls s3://<fdr-bucket>/<prefix>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefix>/<batch>/ ./fdr/ --recursive
Filtern Sie dann nach dem Host, der Sie interessiert, anhand seiner Agenten-ID:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl
Jede Zeile ist ein Ereignis. FDR-Volumen summiert sich schnell, filtern Sie also nach aid und event_simpleName, bevor Sie hochladen.
Schritt 3: Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen logtotal.com und legen Sie die .jsonl-Datei ab.
- Bereinigen.
- Überprüfen.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Keine Exportoption oder Ergebnisse sind begrenzt | Rollenzulassungen oder eine UI-Grenze | Überprüfen Sie Ihre Rolle; teilen Sie den Zeitbereich; verwenden Sie FDR für das Volumen |
| Nichts älter als ein bestimmtes Datum | Abonnement-Aufbewahrung | Überprüfen Sie FDR-Archive oder Ihr SIEM |
| AccessDenied auf dem FDR-Bucket | Anmeldeinformationen geändert oder FDR nicht aktiviert | Aktuelle FDR-Anmeldeinformationen abrufen |
| Erwartete Felder fehlen | table() hat sie abgeschnitten | Ohne table() exportieren |
| FDR-Dateien sind riesig | Keine Filterung | Filtern nach aid und event_simpleName |
FAQ
Kann ich Windows-Ereignisprotokolle aus Falcon erhalten?
Nicht von der Sensortelemetrie: Falcon erfasst standardmäßig keine rohen Windows-Ereignisprotokolle. Exportieren Sie sie vom Host
Wie sieht es mit Erkennungen und Warnungen aus?
Diese sind über die Falcon-API verfügbar (FalconPy macht es einfach), aber sie sind Warnungen, keine rohen Telemetriedaten. Für LogTotal exportieren Sie die dahinterliegenden Ereignisse.
