Falconの「高度なイベント検索」についてご紹介します。

自己紹介
1. 高度なイベント検索機能の役割
2. 高度なイベント検索とは？
3. 基本的な使い方
まとめ
- 0-WANについて
- 一緒に働いて頂ける仲間も募集しています

自己紹介

こんにちは、エーピーコミュニケーションズiTOC事業部 BzD部 0-WANの田中と申します。
弊社でEDR製品を導入いただいたお客様のインシデント調査を主に担当しております。
その傍らプログラマーとしての経験と知識を生かしてセキュリティに関するウェブアプリケーションを設計構築するなどSOCチームのメンバーとして日々サイバーセキュリティと共に在るエンジニアです。

2025年は12回に渡ってCrowdStrikeの利用者視点で役に立つ情報をお伝えします。「CrowdStrike Falcon」の強力な機能の一つであるFalconの「クエリー」に焦点を当てた第2回目は「高度なイベント検索」についてご紹介します。

過去のCrowdStrikeに関する記事は以下の通りです。

1. 高度なイベント検索機能の役割

インシデントレスポンスの現場では、巧妙化するサイバー脅威に対し、迅速かつ的確な対応が不可欠です。日々発生する膨大なセキュリティログの中から、攻撃の痕跡を効率的に発見し、分析する能力が、インシデントの封じ込めと復旧の鍵となります。 CrowdStrike Falconが提供する「高度なイベント検索」機能は、CrowdStrikeクエリ言語 (CrowdStrike Query Language = CQL) を活用し、環境内のイベントやプロセスを深く掘り下げることで、疑わしいアクティビティの迅速な分析、確認、そして脅威ハンティングを可能にします。これにより、インシデントレスポンスチームは脅威の可視性を大幅に高め、効果的な対応を支援できるようになります。

高度なイベント検索とCrowdStrikeクエリ言語 (CQL) について詳しくは以下のドキュメントをご覧ください。

2. 高度なイベント検索とは？

CrowdStrike Falconの「高度なイベント検索」は、環境内で発生するイベントやプロセスを詳細に分析し、不審なアクティビティを効率的に検出・調査するための機能です。この機能の核となるのが、強力なフィルタリングと分析を可能にするCrowdStrikeクエリ言語（CQL）です。 library.humio.com

高度なイベント検索では、以下の多様なデータソースを対象にクエリーを実行できます。（＊購入済の製品が対象）

すべて: CrowdStrikeおよびサードパーティの全イベントデータ
Falcon: エンドポイントとセンサーのイベントデータ
サードパーティ: 外部ソースから収集されたイベントデータ
フォレンジック: Falcon Forensicsによるトリアージデータ
リスク: 脆弱性管理で収集されたデータ

この機能を利用するには、Falcon InsightまたはFalcon Next-Gen SIEMのサブスクリプションと、Falcon管理者、NG SIEM管理者、NG SIEMアナリストなどの特定のロールが必要です。これにより、セキュリティ担当者は、CrowdStrikeクラウドに保存されたイベントデータに直接アクセスし、CQLを用いて環境内の脅威を深く掘り下げることができます。

3. 基本的な使い方

それでは、Falconコンソールで高度なイベント検索を実行するための基本的な手順を見ていきましょう。

「Next-Gen SIEM（次世代SIEM）」>「Log management（ログ管理）」>「Advanced event search（高度なイベント検索）」で「Advanced event search（高度なイベント検索）」ページにアクセスできます。

また「Endpoint security（エンドポイントセキュリティ）」>「Endpoint detections（エンドポイント検知）」の詳細パネル、同様に「Next-Gen SIEM（次世代SIEM）」>「Detections（検知）」の詳細パネルからも調査ドロップダウンメニューからInvestigate Event（イベントの検査）を選択すると「Advanced event search（高度なイベント検索）」ページにアクセスできます。