Śledź Aby przeprowadzić ukierunkowane pobranie, uruchom swoje zapytanie w zaawansowanym wyszukiwaniu zdarzeń Falcon i eksportuj wyniki jako JSON. W przypadku masowej surowej telemetrii, Falcon Data Replicator (FDR) dostarcza twoje zdarzenia do koszyka S3 jako skompresowane JSON-y, jedno zdarzenie na linię. Pamiętaj, co otrzymujesz: własną telemetrię sensorów Falcon (procesy, sieć, DNS, zdarzenia logowania), a nie oryginalne logi Windows lub Linux gospodarzy.
Telemetria Falcona jest jednym z najbogatszych danych endpointów dostępnych dla SOC, a często jest to pierwsza rzecz, o którą pyta partner ds. IR. Prime Core posiada 23 742 reguły detekcji dla danych CrowdStrike, odwzorowane na 674 techniki MITRE ATT&CK. Poniżej opisano, jak je wyodrębnić, oczyścić i zbadać za darmo w LogTotal.
Zanim zaczniesz
Dostęp. Wyszukiwanie zdarzeń wymaga roli w Falcon, która na to pozwala. FDR potrzebuje własnej subskrypcji oraz klienta API z zakresem FDR; CrowdStrike dostarcza koszyk, kolejkę i dane uwierzytelniające.
Zachowanie. Jak daleko wstecz sięgają dane zdarzeń zależy od twojej subskrypcji, często od kilku dni do kilku miesięcy. Sprawdź, zanim obiecasz komukolwiek historię.
Nazwy zdarzeń. Telemetria Falcon jest zorganizowana według event_simpleName. Najczęściej używane: ProcessRollup2 (start procesu), NetworkConnectIP4, DnsRequest, UserLogon. Znajomość ich przyspiesza pisanie zapytań.
Dokumentacja CrowdStrike znajduje się za logowaniem Falcon. Ten przewodnik oparty jest na niej, oraz na publicznych projektach FalconPy i FDR, sprawdzonych w październiku 2026.
Opcja 1: Zaawansowane wyszukiwanie zdarzeń
Sprecyzuj zapytanie, a nie redukuj go używając table() przed eksportem, ponieważ to usuwa pola:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Ustaw zakres czasowy, uruchom wyszukiwanie, a następnie eksportuj wyniki jako JSON lub CSV. Jeśli wybrano CSV, określ w 'Pola do eksportu’ wybierz 'Wybierz wszystkie’.
Opcja 2: Falcon Data Replicator (hurtowy)
FDR to droga do dużej ilości danych. CrowdStrike zapisuje paczki skompresowanych plików JSON do koszyka S3 i zapowiada każdą nową paczkę w kolejce SQS. Do ciągłego zbierania, konsumuj kolejkę (CrowdStrike publikuje przykładowego konsumenta). Dla jednorazowego działania, listuj koszyk, wybierz paczki obejmujące twój zakres i pobierz je:
export AWS_ACCESS_KEY_ID='<klucz dostępu FDR>'
export AWS_SECRET_ACCESS_KEY='<tajny klucz FDR>'
aws s3 ls s3://<koszyk-fdr>/<prefiks>/ --recursive | less
aws s3 cp s3://<koszyk-fdr>/<prefiks>/<paczka>/ ./fdr/ --recursive
Następnie przefiltruj do hosta, który cię interesuje, po jego ID agenta:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<id-agenta>")' > ws042_fdr.jsonl
Każda linia to jedno zdarzenie. Objętość FDR szybko się sumuje, więc filtruj po aid i event_simpleName, zanim wyślesz.
Krok 3: Prześlij, wyczyść i przejrzyj w LogTotal
- Prześlij. Otwórz logtotal.com i upuść plik .jsonl.
- Oczyść.
- Przejrzyj.
Gdy coś pójdzie nie tak
| Symptom | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Brak opcji eksportu, lub wyniki są ograniczone | Uprawnienia roli lub limit interfejsu użytkownika | Sprawdź swoją rolę; podziel zakres czasowy; użyj FDR do dużej ilości danych |
| Nic starszego niż od jakiejś daty | Zachowanie subskrypcji | Sprawdź archiwa FDR lub swój SIEM |
| Odmowa dostępu na koszyku FDR | Zmieniły się dane uwierzytelniające, lub FDR nie jest włączony | Uzyskaj aktualne dane uwierzytelniające FDR |
| Brakuje oczekiwanych pól | table() je przycięło | Eksportuj bez table() |
| Pliki FDR są ogromne | Brak filtrowania | Filtrowanie po aid i event_simpleName |
FAQ
Czy mogę wyciągnąć logi zdarzeń Windows z Falcona?
Nie z telemetrii sensorów: Falcon nie zbiera surowych logów zdarzeń Windows domyślnie. Eksportuj je z hosta
A co z detekcjami i alertami?
Te są dostępne przez API Falcona (FalconPy to ułatwia), ale są to alerty, a nie surowa telemetria. Do LogTotal, eksportuj zdarzenia, które za nimi stoją.
