SentinelOneとCrowdStrikeのEDRログをSIEMに転送する方法
SentinelOneとCrowdStrikeのEDRアラートは独立したコンソールにあります。SIEMへの転送方法と相関分析の利点を解説します。
SentinelOneとCrowdStrikeのEDRログをSIEMに転送する方法
SentinelOne や CrowdStrike Falcon のようなエンドポイント検出ツールは、それ自体で多くを検知します — しかしそのアラートは独立したコンソールに存在します。それらのログをSIEMに転送しなければ、同じ時間帯に発生しているファイアウォール、AD、クラウドのアクティビティとエンドポイント検出を relate（相関分析）できません。この記事では両プラットフォームを解説します。
なぜEDRログを転送する必要があるのか
EDRツールは エンドポイント上 で起きたことを検知するのに優れています。単体でできないのは、同じユーザーアカウントが同じ時間帯に異常なVPNログイン、不審なAD権限変更、ファイアウォール上の異常なアウトバウンド通信をトリガーしたかどうかを教えることです。この相関分析は、EDRイベントがすべてが集まる場所 — つまりSIEM — に入って初めて可能になります。（用語の違いがまだ分かりにくい場合は、ログ管理 vs SIEM vs SOC の解説もご覧ください。）
1. SentinelOne
管理コンソール経由（Syslog転送）：
- Settings → Integrations → Syslog に移動
- 新しいSyslogターゲットを追加：SIEMのIP、ポート（デフォルト514、TLSなら6514）
- プロトコル：SIEMが対応していれば TCP + TLS を選択 — SentinelOneは暗号化転送に対応
- 転送するイベント種別を選択：最低限 Threats、Agent Detections、DFI（Deep File Inspection）events を含める
- 保存し、SIEMの取り込みダッシュボードで数分以内にイベントが届いているか確認
API経由（カスタムパイプライン向け）：
SentinelOneはREST API（/web/api/v2.1/threats）も提供しており、syslogでpushする代わりにスケジュールでイベントを取得できます — SIEMがsyslogを直接受け取る代わりにcollectorエージェント経由で取り込む場合に便利です。
2. CrowdStrike Falcon
Falcon Data Replicator（FDR）経由：
CrowdStrikeの主要なログエクスポート方式はFDRで、CrowdStrikeがホストするS3バケットにraw telemetryを配信し、新しいファイルがあるとSQSキューで通知されます：
- Falconコンソールで Support → API Clients and Keys に移動
- CID向けに Falcon Data Replicator を有効化
- CrowdStrikeがS3バケット＋SQS通知キューをプロビジョニング
- SIEMのクラウドログコレクターをそのS3バケットに向ける（多くのSIEMがS3ベースの取り込みに対応）
Event Streams API経由（低ボリューム、ほぼリアルタイム）：
S3パイプラインを管理したくないチーム向けに、Falcon Streaming API は永続的なHTTPS接続を通じて検出・監査イベントをpushします — セットアップは簡単ですが、FDRよりraw telemetryは少なくなります。
よくある間違い
| # | 問題 | 対策 |
|---|
| 1 | 「Threats」のみ転送し、より低い重要度の検出を見逃す | Agent Detections / DFIイベントも転送する — 低重要度のエンドポイントシグナルも、他のログと相関させると重要になることが多い |
| 2 | EDRと他のログソース間でタイムスタンプが正規化されていない | SIEMが取り込み時にEDRのタイムスタンプをUTCに正規化しているか確認する |
| 3 | EDRアラートをSIEM相関分析の代替として扱う | EDRアラートは一つの入力に過ぎない。価値はファイアウォール／AD／クラウドログとの相関にあり、単独で見ることではない |
| 4 | FDRのS3バケットにライフサイクルポリシーがない | SIEMが取り込む前にraw telemetryが際限なく増え続けないよう、バケットに保持／ライフサイクルポリシーを設定する |
⭐ zcrLogはSentinelOneもCrowdStrike Falconも取り込み可能
zcrLog は本日時点でSentinelOneのイベントを直接取り込み、EDRイベントをFirewall、AD、Entra IDなど他のログと同じタイムラインで相関分析します。CrowdStrike Falconのログも、zcrLogで現在取り込めます。別製品のzcrSIEMにもCrowdStrike Falconコネクタがあります。料金は月額฿4,000から — 他のログソースも設定する場合はFirewallのsyslog転送設定ガイドもご参照ください。
🎯 zcrLogの詳細を見る →
📞 無料相談
関連製品
導入範囲とパートナーに確認すべき前提条件は、zcrLogで確認できます
出典
- Netskope — SentinelOne Plugin for Threat Exchange — サードパーティの連携ガイドで、
Authorization: ApiToken ヘッダー付きの GET /web/api/v2.1/threats 呼び出しを掲載
- CrowdStrike — Falcon Data Replicator (FDR) — APIリファレンスの目次（FDRとEvent Streamsのコレクション）
- CrowdStrike — Falcon Data Replicator: SQS Technical Add-on guide (PDF) — FDRのデータはCrowdStrikeがホストするS3バケットから、CrowdStrike提供のSQSキュー経由で取得する
- CrowdStrike — Falcon Event Streams Add-on guide (PDF) — Streaming APIは暗号化された永続接続で利用する
- Coralogix — SentinelOne (syslog) — syslog手順のコンソール上の場所：Settings、Integrations、SYSLOG。CEF形式とTLSオプションを併記
次に読む