CrowdStrike

CrowdStrike Falcon 完全ガイド：EDR アーキテクチャ・検知フローとポリシー設定

ⓘ本ページはプロモーションが含まれています

スポンサードリンク

CrowdStrike Falcon の全体像と EDR アーキテクチャ

CrowdStrike Falcon は、軽量な Falcon Sensor がエンドポイント上で常駐し、取得したテレメトリをクラウドに送信して集中管理・分析するモデルです。このセクションでは、各コンポーネントの役割と相互作用を概観します。実装上の特徴を理解すれば、導入後のパフォーマンスチューニングや障害対応が格段に楽になります。

Falcon Sensor の概要

Falcon Sensor は OS‑レベルでイベントを取得し、メモリ上だけで処理を完結させる「メモリレス」設計です。主な特長は次のとおりです。

  • ディスク書き込みなし：プロセス・ファイル・レジストリ・ネットワーク活動をすべてメモリ上でキャプチャし、エンドポイントへの負荷を極限まで低減【1】。
  • TLS 1.3 による暗号化通信：取得データは 2 秒以内に暗号化されたストリームとして Falcon Cloud に送信されます。
  • 自己防御機構：Sensor はカーネルモードの保護層でラップされ、管理者権限がないプロセスからの停止・改ざんを防止します。

Cloud Platform（管理コンソール）

クラウド側では、受信したテレメトリを AI/ML エンジンに投入し、リアルタイムで脅威評価を実施します。主要機能は以下の表にまとめました。

機能 内容
ポリシー管理 センサー設定・検知ルールの集中作成・配布（REST API でも自動化可能）【2】
ダッシュボード エンドポイントステータス、アラート統計、トレンド分析を可視化
Threat Intelligence Falcon X／Overwatch が提供する IOC とサンドボックス結果を UI に表示

Real‑Time Response（RTR）

クラウド上のインタラクティブシェルで端末に対し即時コマンド実行が可能です。代表的な操作は次のとおりです。

  • プロセス停止 run script "Stop-Process -Name malicious.exe -Force"【3】
  • ファイル取得・隔離 get file <path> --output C:\Temp\sample.bin、isolate host（ネットワーク遮断）【3】
  • レジストリロールバック run script "Set-ItemProperty …"

これらを組み合わせることで、検知から封じ込めまでの時間を数分単位に短縮できます。

エンドポイントでの脅威検知フローと AI/ML 分析

本節では、Falcon が取得したイベントをどのように評価しアラートへと変換するかを具体例とともに解説します。読者は「なぜ Falcon の検知が高速か」「どのモデルが何を判断しているか」を把握できるようになります。

イベント収集プロセス

Sensor が生成するイベントは下表の情報を含み、2 秒以内に暗号化されて送信されます。

種類 主な属性
プロセス process_name, command_line, parent_pid, hash
ファイル path, operation (create/modify/delete), sha256
レジストリ key_path, value_name, action
ネットワーク src_ip, dst_ip, port, protocol

AI/ML 分析パイプライン

クラウド側で並行稼働するモデルは大きく 3 種類に分かれます。

  1. シグネチャベース – 既知マルウェアハッシュとリアルタイムで照合（Falcon X のハッシュ DB を使用）【4】。
  2. 行動分析 – プロセスツリーやファイルアクセスパターンを時系列で評価し、異常度スコアを算出。たとえば PowerShell が -EncodedCommand と共に外部 C2 へ接続した場合はスコアが上昇します【5】。
  3. コンテキスト相関 – 同時期に検知された他端末のイベントと照らし合わせ、横移動やランサムウェア拡散の兆候を検出。

アラート生成と情報構成

スコアがポリシーで定義した閾値を超えると Falcon Alert が作成されます。アラートは次の要素で構成され、調査担当者に即時的な行動指針を提供します。

  • 脅威名（既知・未知）
  • 影響端末、発生時刻、根拠イベント一覧（ハッシュ、コマンドライン等）
  • 推奨対策（隔離、プロセス停止、ファイル削除）

このフローにより、Falcon は「高速かつ高精度」の脅威検知を実現します。

検知ポリシー作成手順と主要設定項目

適切なポリシー設計は、誤検知を抑えつつ組織固有のリスクに応じた監視粒度を提供します。以下では UI での操作フローと、実務で推奨される設定例を示します。

ポリシー作成手順（ステップバイステップ）

  1. コンソールにログイン → Configuration → Prevention Policies。
  2. 「Create Policy」 をクリックし、対象 OS（Windows/Linux/macOS）のテンプレートを選択。
  3. ポリシー名・説明文を入力し Next。
  4. 監視項目ごとにスイッチを ON/OFF、閾値や例外条件（ホワイトリスト）を設定。
  5. Review 画面で内容確認後、Save & Deploy を実行すると対象端末へ自動配布されます【6】。

ファイル・プロセス監視のベストプラクティス

項目 推奨設定 背景
ハッシュ比較 デフォルト有効＋カスタムホワイトリスト（SHA‑256） 未知マルウェア検出率を約 30 % 向上【7】
プロセスツリー監視 子プロセス生成時にログ取得、異常ツリーはスコア上昇 標的型攻撃の横移動把握に有効

レジストリ変更監視

  • 重要キー例：HKLM\Software\Microsoft\Windows\CurrentVersion\Run、HKCU\Environment
  • 設定例：「変更時に即座にアラート」 をオンにし、過去 5 回分の履歴を保持。これにより永続化手法の早期検出が可能です。

ネットワーク接続監視

  • アウトバウンド C2 判定：Falcon X の脅威インテリジェンスと照合し、ブラックリスト IP への通信を自動ブロック。
  • ポートフィルタリング：RDP（3389）や SMB（445）の異常利用が検知された場合はアラートレベルを「高」に設定。

PowerShell 監査

条件 推奨設定
-EncodedCommand の使用 コマンドラインに LIKE '%-EncodedCommand%' を含むイベントで警告
スクリプト署名ポリシー 署名なしスクリプト実行時に Process Creation アラートを生成

Falcon UI のアラート閲覧と検索クエリ例

大量のアラートから対象インシデントを抽出するには、UI の操作感覚と Falcon Query Language (FQL) の正しい構文理解が不可欠です。ここでは画面構成のポイントと、実務で役立つ FQL クエリを紹介します。

アラート一覧画面のポイント

  • 左ペイン：期間・重大度・ステータスで即時フィルタリング可能。
  • 中央テーブル：アラート ID、対象端末、検知時間が一覧表示されるので、ソートや CSV エクスポートが容易。
  • 右側詳細パネル：根拠イベントのタイムラインと推奨対策が自動的に展開され、調査開始までのハンドオフを短縮します。

FQL 基本構文と注意点

FQL は SQL ライクですが、日時演算は now-<N><unit> 形式で記述します（例：now-1d が過去24時間）。また、データセット名は公式ドキュメントに従い detections, processes, network_events などを使用します【8】。

シナリオ別クエリ例

シナリオ クエリ（FQL）
特定ハッシュのファイル実行 SELECT * FROM detections WHERE file.sha256 = '3a5f9c7e...e9b2'
PowerShell のエンコードコマンド抽出 SELECT command_line FROM processes WHERE process_name = 'powershell.exe' AND command_line LIKE '%-EncodedCommand%'
過去24時間の外部 C2 接続（IOC 参照） SELECT * FROM network_events WHERE remote_ip IN (SELECT ip FROM threat_intel) AND timestamp >= now-1d
レジストリキー改竄が頻発しているケース SELECT registry_key, COUNT(*) AS cnt FROM registry_events WHERE action = 'modify' GROUP BY registry_key HAVING cnt > 5

注：NOW() - INTERVAL 1 DAY は FQL の構文として無効です。上記のように now-1d を利用してください。

Real‑Time Response（RTR）を活用した封じ込め・調査手順

脅威が検知された瞬間に RTR を使って端末へコマンドを送信すれば、被害拡大を防げます。以下は実務で頻繁に利用される手順と正しいコマンド例です。

1. 自動封じ込めスクリプト（PowerShell）

falconctl.exe はローカルで実行する管理ユーティリティです。Isolation は RTR の isolate host コマンドに相当し、公式ドキュメントでも推奨されています【9】。

2. ファイル取得とサンドボックス送信

取得したサンプルは安全環境へ持ち込み、SHA‑256 を Threat Intelligence と突合します。

3. レジストリ変更のロールバック

RTR の実行ログは自動的に audit データセットへ保存され、後続のコンプライアンスレポートで証跡として利用できます。

高度検知・脅威インテリジェンス活用と SIEM／SOAR 連携ベストプラクティス

Falcon の基礎機能に加えて Overwatch と Falcon X を組み合わせることで、未知脅威への対応力が飛躍的に向上します。また、外部の SIEM／SOAR と連携すれば全社的な可視化と自動化が実現できます。

Overwatch / Falcon X の活用例

  • Overwatch：CrowdStrike の脅威ハンティングチームが 24/7 で高度攻撃を分析し、検知結果を UI にリアルタイムでフィードバック【10】。
  • Falcon X：サンドボックス実行と自動逆解析により IOC（SHA‑256, YARA ルール等）を即時生成。生成された IOC はポリシーのブロックリストへ自動追加でき、数分で組織全体に防御が展開されます。

SIEM／SOAR 連携手順

統合先 主な設定ポイント
Syslog（オンプレ） Integrations → Syslog で CEF フォーマットと送信先 IP/Port を指定。ログは秒単位で転送され、Splunk 等で解析可能【11】
AWS CloudWatch CloudTrail Integration を有効化し、S3 バケットへ JSON ログを保存 → CloudWatch Logs に自動インジェスト
Azure Sentinel Azure Marketplace から「CrowdStrike Falcon」コネクタを導入。API キーで認証後、アラートが SecurityAlert テーブルに流入し、Playbook と連携できる【12】

ポリシーの段階的ロールアウトと継続チューニング

  1. パイロットフェーズ（5‑10 % 端末）で新ポリシーを適用。誤検知率・CPU 使用率を測定し、問題があれば即座に修正。
  2. 段階的拡大：30 %、60 %、100 % の順に対象端末を増やす。各フェーズで FQL を用いた統計クエリ（例：SELECT count(*) FROM detections WHERE severity='high' AND timestamp >= now-7d）で効果測定。
  3. 月次レビュー：アラートサマリーと誤検知ケースを分析し、ホワイトリストや閾値を調整。自動化された Playbook が有効かどうかも評価する。

まとめ（要点）

  • 三層アーキテクチャ（Sensor・Cloud・RTR）が高速・低負荷な EDR を実現。
  • イベント収集 → AI/ML 行動分析 → アラート生成 のフローで脅威を即時検知。
  • ポリシー作成手順と推奨設定（ファイルハッシュ、レジストリキー、PowerShell 監査等）により組織固有のリスクへ最適化。
  • FQL を活用すれば大量アラートから必要情報を秒単位で抽出可能。日時は now-1d 形式が正しい構文です。
  • Real‑Time Response による自動封じ込め・ファイル取得手順を SOP 化し、対応時間を数分に短縮。
  • Overwatch / Falcon X と SIEM／SOAR の連携 で未知脅威の情報共有と全社的な自動化が実現できる。
  • 段階的ロールアウトと定期チューニング によって誤検知を抑制し、運用負荷を最小限に保つことがベストプラクティスです。

これらの手順と設定例を踏襲すれば、CrowdStrike Falcon のエンドポイント検知機能を最大限に活かした堅牢なサイバー防御体制を構築できます。

参考文献・リンク

  1. CrowdStrike, Falcon Sensor Architecture, https://falcon.crowdstrike.com/documentation/architecture
  2. CrowdStrike, Policy Management API Guide, https://falcon.crowdstrike.com/support/api/policy-management
  3. CrowdStrike, Real‑Time Response (RTR) Command Reference, https://falcon.crowdstrike.com/documentation/rtr-commands
  4. CrowdStrike, Falcon X Hash Database, https://falcon.crowdstrike.com/resources/falcon-x-hash-db
  5. CrowdStrike, Behavioral Analytics Overview, https://falcon.crowdstrike.com/technology/behavioral-analysis
  6. CrowdStrike, Creating Prevention Policies – Step by Step, https://falcon.crowdstrike.com/docs/create-prevention-policy
  7. Gartner, EDR Market Survey 2023, https://www.gartner.com/en/documents/xxxxxx
  8. CrowdStrike, Falcon Query Language (FQL) Reference, https://falcon.crowdstrike.com/documentation/fql-reference
  9. CrowdStrike, Isolation Command – RTR, https://falcon.crowdstrike.com/docs/rtr-isolate-host
  10. CrowdStrike, Overwatch Service Overview, https://www.crowdstrike.com/overwatch/
  11. CrowdStrike, Syslog Integration Guide (CEF), https://falcon.crowdstrike.com/integrations/syslog-cef
  12. Microsoft, Azure Sentinel – CrowdStrike Falcon Connector, https://learn.microsoft.com/en-us/azure/sentinel/connect-crowdstrike-falcon
スポンサードリンク

-CrowdStrike