CrowdStrike Falconからイベントデータをエクスポートする方法

ターゲットプルの場合、Falconの高度なイベント検索でクエリを実行し、結果をJSONとしてエクスポートします。大量の生テレメトリーについては、Falcon Data Replicator (FDR)がイベントをS3バケットにgzipped JSONとしてラインごとに配信します。取得するのは、Falcon自身のセンサーテレメトリー（プロセス、ネットワーク、DNS、ログオンイベント）です。ホストの元のWindowsやLinuxのログではありませんので、ご注意ください。

Falconテレメトリーは、SOCが保有する最も豊富なエンドポイントデータの1つであり、IRパートナーが最初に求めることが多いです。Prime CoreにはCrowdStrikeデータ用の23,742の検出ルールがあり、674のMITRE ATT&CKテクニックにマッピングされています。以下は、それを取得し、無害化し、LogTotalで無料で調査する方法です。

無料で始める

始める前に

アクセス。 イベント検索には、対応するFalconロールが必要です。FDRには、専用のサブスクリプションとFDRスコープを持つAPIクライアントが必要です。CrowdStrikeがバケット、キュー、および認証情報を提供します。

保持。 イベントデータがどこまで遡れるかは、サブスクリプションによって異なり、通常は数日から数か月です。誰かに履歴を約束する前に確認してください。

イベント名。 Falconテレメトリーは、event_simpleNameで構成されています。最もよく使用するもの：ProcessRollup2（プロセス開始）、NetworkConnectIP4、DnsRequest、UserLogon。それらを知っていると、クエリを書くのが速くなります。

CrowdStrikeのドキュメントはFalconのログインの背後にあります。このガイドはそれに基づいており、2026年10月に確認された公的なFalconPyおよびFDRプロジェクトを含めています。

オプション 1: 高度なイベント検索

クエリを厳密にスコープし、エクスポート前にtable()で減らさないようにしてください。フィールドが失われます：

#event_simpleName=ProcessRollup2 ComputerName=WS-042

時間範囲を設定し、検索を実行した後、結果をJSONまたはCSVとしてエクスポートします。CSVが選択された場合は、「エクスポートするフィールド」で「すべて選択」を指定してください。

オプション 2: Falcon Data Replicator（バルク）

FDRはボリュームに最適なルートです。CrowdStrikeはgzipped JSONファイルのバッチをS3バケットに書き込み、新しいバッチごとにSQSキューで発表します。継続的な収集にはキューを消費します（CrowdStrikeはサンプルコンシューマを提供しています）。一回限りの場合は、バケットをリストし、ウィンドウ内のバッチを選んでダウンロードしてください：

export AWS_ACCESS_KEY_ID='<FDR access key>'
export AWS_SECRET_ACCESS_KEY='<FDR secret>'

aws s3 ls s3://<fdr-bucket>/<prefix>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefix>/<batch>/ ./fdr/ --recursive

その後、関心のあるホストをそのエージェントIDでフィルタリングしてください：

zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl

各行が1つのイベントです。FDRのボリュームは急速に増加するので、アップロードする前にaidとevent_simpleNameでフィルタリングしてください。

ステップ 3: LogTotalでアップロード、無害化、レビュー

1. アップロード。 オープン logtotal.com そして、.jsonlファイルをドロップします。
2. 無害化。 
3. レビュー。 

問題が発生した場合