Seguir Para uma extração direcionada, execute sua consulta na Pesquisa Avançada de Eventos do Falcon e exporte os resultados como JSON. Para telemetria bruta em massa, o Falcon Data Replicator (FDR) entrega seus eventos para um bucket S3 como JSON compactado em gzip, um evento por linha. Tenha em mente o que você está recebendo: a telemetria do sensor próprio do Falcon (processo, rede, DNS, eventos de logon), não os logs originais dos hosts Windows ou Linux.
A telemetria do Falcon é um dos dados de endpoint mais ricos que um SOC possui, e geralmente é a primeira coisa que um parceiro de IR solicita. Prime Core tem 23.742 regras de detecção para dados do CrowdStrike, mapeadas para 674 técnicas MITRE ATT&CK. Abaixo está como extrair, sanitizar e investigá-lo gratuitamente no LogTotal.
Antes de começar
Acesso. A pesquisa de eventos precisa de um papel do Falcon que a permita. O FDR precisa de sua própria assinatura, além de um cliente API com escopo FDR; o CrowdStrike fornece o bucket, a fila e as credenciais.
Retenção. Até onde os dados de eventos remontam depende da sua assinatura, geralmente dias a alguns meses. Verifique antes de prometer qualquer histórico.
Nomes de eventos. A telemetria do Falcon é organizada por event_simpleName. Os que você mais usará: ProcessRollup2 (início do processo), NetworkConnectIP4, DnsRequest, UserLogon. Conhecê-los torna as consultas muito mais rápidas de serem escritas.
A documentação do CrowdStrike fica atrás do login do Falcon. Este guia é baseado nela, além dos projetos públicos FalconPy e FDR, verificados em outubro de 2026.
Opção 1: Pesquisa Avançada de Eventos
Faça uma consulta com escopo limitado e não a reduza com table() antes de exportar, pois isso elimina campos:
#event_simpleName=ProcessRollup2 ComputerName=WS-042
Defina o intervalo de tempo, execute a pesquisa e então exporte os resultados como JSON ou CSV. Se CSV for selecionado, especifique em ‘Campos para exportar’ escolha ‘Selecionar todos’.
Opção 2: Falcon Data Replicator (em massa)
O FDR é a rota para volume. O CrowdStrike escreve lotes de arquivos JSON compactados em gzip para um bucket S3 e anuncia cada novo lote em uma fila SQS. Para coleta contínua, consuma a fila (o CrowdStrike publica um consumidor de exemplo). Para uma única vez, liste o bucket, escolha os lotes que cobrem seu intervalo e faça o download deles:
export AWS_ACCESS_KEY_ID='<chave de acesso FDR>'
export AWS_SECRET_ACCESS_KEY='<segredo FDR>'
aws s3 ls s3://<bucket-fdr>/<prefixo>/ --recursive | less
aws s3 cp s3://<bucket-fdr>/<prefixo>/<lote>/ ./fdr/ --recursive
Em seguida, filtre para o host que você deseja, pelo seu ID de agente:
zcat ./fdr/*.gz | jq -c 'select(.aid == "<id-agente>")' > ws042_fdr.jsonl
Cada linha é um evento. O volume do FDR aumenta rapidamente, então filtre por aid e event_simpleName antes de carregar.
Passo 3: Carregar, sanitizar e revisar no LogTotal
- Carregar. Abrir logtotal.com e soltar o arquivo .jsonl.
- Sanitizar.
- Revisar.
Quando algo dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| Nenhuma opção de exportação ou os resultados são limitados | Permissões de papel ou um limite de IU | Verifique seu papel; divida o intervalo de tempo; use o FDR para volume |
| Nada mais antigo que uma certa data | Retenção de assinatura | Verifique os arquivos do FDR ou seu SIEM |
| AccessDenied no bucket FDR | Credenciais rotacionadas ou FDR não habilitado | Obtenha credenciais FDR atualizadas |
| Campos que você esperava estão faltando | table() os removeu | Exportar sem table() |
| Arquivos FDR são enormes | Sem filtragem | Filtre por aid e event_simpleName |
FAQ
Posso obter logs de eventos do Windows a partir do Falcon?
Não a partir da telemetria do sensor: o Falcon não coleta logs de eventos do Windows por padrão. Exporte-os do host
E quanto às detecções e alertas?
Eles estão disponíveis através da API do Falcon (FalconPy facilita), mas são alertas, não telemetria bruta. Para o LogTotal, exporte os eventos por trás deles.
