FalconConsoleのホスト管理と検索機能についてご紹介します。

自己紹介
基本的な使い方
1.ホスト管理
2.検索機能
- セントラル検索
- エンドポイント検知画面
まとめ
- 0-WANについて
- 一緒に働いて頂ける仲間も募集しています

自己紹介

こんにちは、エーピーコミュニケーションズiTOC事業部 BzD部 0-WANの田中と申します。
弊社でEDR製品を導入いただいたお客様のインシデント調査を主に担当しております。
その傍らプログラマーとしての経験と知識を生かしてセキュリティに関するウェブアプリケーションを設計構築するなどSOCチームのメンバーとして日々サイバーセキュリティと共に在るエンジニアです。

2025年は12回に渡ってCrowdStrikeの利用者視点で役に立つ情報をお伝えする連載をスタートします。今回のテーマは「FalconConsole徹底解説その２」です。

過去のCrowdStrikeに関する記事は以下の通りです。

基本的な使い方

FalconConsoleの主要な機能は以下のとおりです。

ダッシュボード
アラート画面
ホスト管理
検索機能
レポート機能

今回はFalconConsoleのホスト管理と検索機能についてご紹介します。

CrowdStrikeの管理画面からユーザーガイドが利用できますので参考になさってください。

Falconコンソールユーザーガイド（ログインが必要） falcon.us-2.crowdstrike.com

購入済の製品によって利用できるメニューが変わりますが現在0-WANで購入している検証環境では以下のメニューが利用できます。

1.ホスト管理

ホスト管理についてはこちらのドキュメントをご参照ください。

ホストの管理画面

ホストの管理画面では各ホストに関する情報が表示されます。

最上部のフィルターバーを使って特定のホストを検索したり、デフォルトのフィルターをクリックしてよりターゲットを絞ったリストを表示することができます。リストの行を選択すると右側にサマリーパネルが表示されます。

アセットの詳細画面

サマリー上部の「アセットの詳細」をクリックするとアセット詳細画面を表示することができます。（サブスクリプションによります）

システムインサイトタブの右側にあるコピーアイコンをクリックするとシステムの詳細情報をクリップボードにコピーすることができます。ハードウェアの管理やディスクの使用量などシステムリソースの調査に役立ちます。

アセットグラフ画面

アセット詳細画面の右上の「アセットグラフ」をクリックすると、さまざまなアセット、アカウントなどの関係のデータを持つCrowdStrike Asset Graphの情報からITアセット、クラウドアセット、アカウントが表示されます。

ホストのタイムライン画面

アセット詳細画面の右上の「アクション」をクリックすると、実行できるアクションを一覧表示することができます。

「ホストのタイムライン」を選択すると「ホストのタイムライン」画面が表示されます。ホストがいつオンラインになったか、ホストが隔離されたか、隔離された場合はその期間、ホストのセンサーがいつプロビジョニングされたかなど、ホストの状態やイベントの履歴を確認できます。

このようにホスト管理を利用するとホストに関する詳細な情報を収集することができます。資産管理やインシデント調査など様々な場面でぜひご活用ください。

2.検索機能

Falcon Consoleでは多様な検索機能が提供されています。

セントラル検索

画面中央上部にあるのが「セントラル検索」です。

使い方の詳細はこちらにありますのでご参照ください。

セントラル検索では主に以下の領域を対象にした結果が返されます。有効期限の切れたデータは検索されません。

検索対象領域
内容
「Endpoint security（エンドポイントセキュリティ）」>「Monitor（モニター）」>「CrowdScore incidents（CrowdScoreインシデント）」（ホストの詳細、「Name（名前）」、「Description（説明）」および「Tags（タグ）」フィールドを使用）
「Endpoint security（エンドポイントセキュリティ）」>「Monitor（モニター）」>「Endpoint detections（エンドポイント検知）」
「Endpoint security（エンドポイントセキュリティ）」>「Monitor（モニター）」>「Quarantined files（隔離されたファイル）」（「Filename（ファイル名）」および「Hostname（ホスト名）」フィールドを使用）
「FileVantage」>「File integrity monitoring（ファイル整合性監視）」>「Changes（変更）」
「Host setup and management（ホストのセットアップおよび管理）」>「Manage endpoints（エンドポイントの管理）」>「Host management（ホストの管理）」
「Identity Protection（アイデンティティ保護）」>「Monitor（モニター）」>「Identity-based Detections（アイデンティティベースの検知）」（検知ID、検知名、割り当て先名、宛先のアプリケーション識別子、ソースエンドポイントIPアドレス、ユーザー名を使用）
「Identity Protection（アイデンティティ保護）」>「Monitor（モニター）」>「Users（ユーザー）」（「Primary Display Name（プライマリ表示名）」および「Secondary Name（セカンダリ名）」、SIDを使用）
「Identity Protection（アイデンティティ保護）」>「Monitor（モニター）」>「Endpoints（エンドポイント）」（「Primary Display Name（プライマリ表示名）」および「Secondary Name（セカンダリ名）を使用）
「Exposure management（エクスポージャー管理）」>「Vulnerability management（脆弱性管理）」>「Vulnerabilities（脆弱性）」
「Support and resources（サポートおよびリソース）」>「Support（サポート）」>「Documentation（ドキュメント）」
「Threat intelligence（脅威インテリジェンス）」>「Research（リサーチ）」>「Adversaries（攻撃者）」
「Threat intelligence（脅威インテリジェンス）」>「Research（リサーチ）」>「Reports and feeds（レポートおよびフィード）」
「Threat intelligence（脅威インテリジェンス）」>「Analyze（解析）」>「Sandbox（サンドボックス）」
「Threat intelligence（脅威インテリジェンス）」>「Research（リサーチ）」>「Indicators（痕跡）」（ドメイン、ハッシュ、IPアドレス）