Segui Per un’estrazione mirata, esegui la tua query nella Ricerca Avanzata degli Eventi di Falcon ed esporta i risultati come JSON. Per la telemetria grezza in blocco, Falcon Data Replicator (FDR) consegna i tuoi eventi a un bucket S3 come JSON compresso, un evento per riga. Tieni presente cosa stai ottenendo: la telemetria del sensore di Falcon (eventi di processo, rete, DNS, accesso), non i log Windows o Linux originali degli host.
La telemetria di Falcon è tra i dati di endpoint più ricchi che un SOC possiede, ed è spesso la prima cosa che un partner IR richiede. Prime Core ha 23.742 regole di rilevamento per i dati CrowdStrike, mappate su 674 tecniche MITRE ATT&CK. Di seguito è indicato come estrarli, sanificarli e investigarli gratuitamente in LogTotal.
Prima di iniziare
Accesso. La ricerca degli eventi richiede un ruolo Falcon che lo permetta. FDR ha bisogno di un proprio abbonamento, più un client API con scope FDR; CrowdStrike ti fornisce il bucket, la coda e le credenziali.
Conservazione. Quanto indietro vanno i dati degli eventi dipende dal tuo abbonamento, spesso da giorni a pochi mesi. Verifica prima di promettere a qualcuno la cronologia.
Nomi degli eventi. La telemetria di Falcon è organizzata per event_simpleName. Quelli che utilizzerai di più: ProcessRollup2 (avvio processo), NetworkConnectIP4, DnsRequest, UserLogon. Conoscerli rende le query molto più veloci da scrivere.
La documentazione di CrowdStrike è disponibile dietro l’accesso Falcon. Questa guida è basata su di essa, oltre ai progetti pubblici FalconPy e FDR, verificati a ottobre 2026.
Opzione 1: Ricerca Avanzata degli Eventi
Restringi la query, e non ridurla con table() prima di esportare, perché ciò elimina campi:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Imposta l’intervallo di tempo, esegui la ricerca, poi esporta i risultati come JSON o CSV. Se viene selezionato CSV, specifica in ‘Campi da esportare’ scegli ‘Seleziona tutto’.
Opzione 2: Falcon Data Replicator (bulk)
FDR è la rotta per il volume. CrowdStrike scrive lotti di file JSON compressi in un bucket S3 e annuncia ogni nuovo lotto su una coda SQS. Per una raccolta continua, consumare la coda (CrowdStrike pubblica un consumatore di esempio). Per una volta, elenca il bucket, scegli i lotti che coprono la tua finestra e scaricali:
export AWS_ACCESS_KEY_ID='<FDR access key>'
export AWS_SECRET_ACCESS_KEY='<FDR secret>'
aws s3 ls s3://<fdr-bucket>/<prefix>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefix>/<batch>/ ./fdr/ --recursive
Poi filtra per l’host di cui ti interessa, tramite il suo ID agente:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl
Ogni linea è un evento. Il volume di FDR aumenta rapidamente, quindi filtra per aid ed event_simpleName prima di caricare.
Passaggio 3: Carica, sanifica e rivedi in LogTotal
- Carica. Apri logtotal.com e trascina il file .jsonl.
- Sanifica.
- Rivedi.
Quando qualcosa va storto
| Sintomo | Probabile causa | Fix |
|---|---|---|
| Nessuna opzione di esportazione o risultati limitati | Permessi di ruolo o limite UI | Controlla il tuo ruolo; dividi l’intervallo di tempo; usa FDR per il volume |
| Niente più vecchio di una certa data | Conservazione dell’abbonamento | Controlla gli archivi di FDR o il tuo SIEM |
| Accesso Negato sul bucket FDR | Credenziali ruotate, o FDR non abilitato | Ottieni le credenziali FDR attuali |
| Campi che ti aspettavi sono mancanti | table() li ha eliminati | Esporta senza table() |
| I file FDR sono enormi | Nessun filtro | Filtra per aid ed event_simpleName |
FAQ
Posso ottenere i registri degli eventi di Windows da Falcon?
Non dalla telemetria del sensore: Falcon non raccoglie i registri degli eventi di Windows grezzi per impostazione predefinita. Esportali dall’host
Che dire di rilevamenti e avvisi?
Questi sono disponibili tramite l’API di Falcon (FalconPy lo rende facile), ma sono avvisi, non telemetria grezza. Per LogTotal, esporta gli eventi dietro di loro.
