팔로우 대상 데이터를 가져오려면 Falcon의 고급 이벤트 검색에서 쿼리를 실행하고 결과를 JSON으로 내보내십시오. 대량의 원시 원격 측정 데이터를 위해 Falcon Data Replicator(FDR)는 이벤트를 gzipped JSON 형식으로, 한 이벤트당 한 줄로 S3 버킷에 전달합니다. 무엇을 얻는지 염두에 두십시오: Falcon 자체의 센서 원격 측정(프로세스, 네트워크, DNS, 로그온 이벤트)이며, 호스트의 원래 Windows 또는 Linux 로그가 아닙니다.
Falcon 원격 측정은 SOC가 보유한 가장 풍부한 엔드포인트 데이터 중 하나이며, 이는 종종 IR 파트너가 가장 먼저 요청하는 것입니다. Prime Core는 CrowdStrike 데이터에 대한 23,742개의 탐지 규칙을 보유하고 있으며, 이는 674개의 MITRE ATT&CK 기술과 연결되어 있습니다. 아래는 이를 추출하고, 정리하며, 무료로 LogTotal에서 조사하는 방법입니다.
시작하기 전에
접근. 이벤트 검색에는 이를 허용하는 Falcon 역할이 필요합니다. FDR는 자체 구독이 필요하며, FDR 범위를 가진 API 클라이언트도 필요합니다; CrowdStrike는 버킷, 큐 및 자격 증명을 제공합니다.
보존. 이벤트 데이터가 돌아가는 시점은 구독에 따라 다르며, 일반적으로 며칠에서 몇 달까지입니다. 누군가에게 기록을 약속하기 전에 확인하십시오.
이벤트 이름. Falcon 원격 측정은 event_simpleName에 따라 구성됩니다. 가장 많이 사용할 것들: ProcessRollup2(프로세스 시작), NetworkConnectIP4, DnsRequest, UserLogon. 이것들을 알면 쿼리를 훨씬 더 빠르게 작성할 수 있습니다.
CrowdStrike의 문서는 Falcon 로그인 뒤에 있습니다. 이 가이드는 이를 기반으로 하며, 공개된 FalconPy 및 FDR 프로젝트와 같이 2026년 10월에 확인된 내용입니다.
옵션 1: 고급 이벤트 검색
쿼리를 엄격하게 설정하고 내보내기 전에 table()로 줄이지 마십시오. 이는 필드를 삭제합니다:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
시간 범위를 설정하고 검색을 실행한 다음 결과를 JSON 또는 CSV로 내보내십시오. CSV가 선택된 경우 ‘내보낼 필드’에서 ‘모두 선택’을 지정하십시오.
옵션 2: Falcon Data Replicator(대량)
FDR는 대량 처리를 위한 경로입니다. CrowdStrike는 gzipped JSON 파일 묶음을 S3 버킷에 작성하고 새 묶음마다 SQS 큐에 발표합니다. 연속 수집을 위해 큐를 소비하십시오(CrowdStrike는 샘플 소비자를 제공합니다). 일회성으로 사용하려면 버킷을 나열하고 창 범위를 덮은 묶음을 선택하고 다운로드하십시오:
export AWS_ACCESS_KEY_ID='<FDR 접근 키>'
export AWS_SECRET_ACCESS_KEY='<FDR 비밀>'
aws s3 ls s3://<fdr-bucket>/<prefix>/ --recursive | less
aws s3 cp s3://<fdr-bucket>/<prefix>/<batch>/ ./fdr/ --recursive
관심 있는 호스트에 대해 에이전트 ID로 필터링한 후:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<agent-id>")' > ws042_fdr.jsonl
각 줄은 하나의 이벤트입니다. FDR 용량은 빠르게 증가하므로, 업로드하기 전에 aid 및 event_simpleName으로 필터링하십시오.
3단계: LogTotal에서 업로드, 정리 및 검토
- 업로드. 열기 logtotal.com 에서 .jsonl 파일을 드롭하십시오.
- 정리.
- 검토.
문제가 발생했을 때
| 증상 | 가능한 원인 | Fix |
|---|---|---|
| 내보내기 옵션 없음 또는 결과 제한 | 역할 권한 또는 UI 제한 | 역할을 확인하십시오; 시간 범위를 분할하십시오; 대량 처리에는 FDR을 사용하십시오 |
| 특정 날짜 이전 데이터 없음 | 구독 보존 | FDR 아카이브 또는 귀사의 SIEM을 확인하십시오 |
| FDR 버킷의 AccessDenied | 자격 증명 회전 또는 FDR 미구성 | 현재 FDR 자격 증명을 얻으십시오 |
| 예상했던 필드가 누락됨 | table()이 그것을 줄였습니다 | table() 없이 내보내십시오 |
| FDR 파일이 매우 큼 | 필터링 없음 | aid 및 event_simpleName으로 필터링 |
FAQ
Falcon에서 Windows 이벤트 로그를 가져올 수 있습니까?
센서 원격 측정에서 기본적으로 원시 Windows 이벤트 로그를 수집하지 않습니다. 호스트에서 이를 내보내십시오
탐지 및 경고는 어떻게 합니까?
그것들은 Falcon API를 통해 제공되며(FalconPy 덕분에 쉽게 수행할 수 있습니다), 이는 경고이며, 원시 원격 측정이 아닙니다. LogTotal에서 경고 뒤의 이벤트를 내보내십시오.
