--- title: 【CrowdStrike】特定のポートの利用有無を確認するための高度なイベントクエリ（Insight）｜Nextmode Blog description: 今回は、特定のポートの利用有無を「高度なイベントクエリ」で確認するコマンドの内容について解説します。Firewall機能などで通信の統制をかける前に、「そもそも現状、ユーザーによってそのポートが利用されているか」を事前に把握しておきたいシチュエーションなどでご活用いただけるかと思います。 image: https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/crowdstrike.png --- [![nextmode blog](https://info.nextmode.co.jp/hubfs/raw_assets/public/NextMode_Theme/nextmode%20blog.png)](https://info.nextmode.co.jp/blog) [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) [資料請求](https://info.nextmode.co.jp/request/) [お問い合わせ](https://nextmode.co.jp/contact/) - [会社TOP](https://nextmode.co.jp/) - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) - [導入事例](https://nextmode.co.jp/casestudy/) - [会社情報](https://nextmode.co.jp/company/) - [セミナー](https://info.nextmode.co.jp/seminar/) - [ブログ](https://info.nextmode.co.jp/blog) [![YouTube](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/@nextmode) 目次 2026/07/31 08:00 # 【CrowdStrike】特定のポートの利用有無を確認するための高度なイベントクエリ（Insight） [» 技術](https://info.nextmode.co.jp/blog/tag/技術) [» CrowdStrike](https://info.nextmode.co.jp/blog/tag/crowdstrike) [![sobar](https://info.nextmode.co.jp/hs-fs/hubfs/sobar.png?width=40&name=sobar.png) sobar](https://info.nextmode.co.jp/blog/author/sobar) 共有： [facebook-f icon](http://www.facebook.com/share.php?u=https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports) [linkedin-in icon](http://www.linkedin.com/shareArticle?mini=true&url=https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports) [Twitter icon](https://twitter.com/intent/tweet?url=https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports) [pinterest-p icon](http://pinterest.com/pin/create/link/?url=https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports) [envelope icon](mailto:?body=https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports) ## はじめに こんにちは、 [ネクストモード株式会社](https://nextmode.co.jp/) の sobar です。 今回は、特定のポートの利用有無を「高度なイベントクエリ」で確認するコマンドの内容について解説します。Firewall機能などで通信の統制をかける前に、「そもそも現状、ユーザーによってそのポートが利用されているか」を事前に把握しておきたいシチュエーションなどでご活用いただけるかと思います。 それでは以下より、調査 \> 高度なイベント検索 より実行するクエリを2つご紹介します。 ## ①宛先IPv4と宛先ポート、送信元ホストごとにカウントを表示（Telnet/TFTP/SNMP） --- 以下は宛先IPv4と宛先ポート(Telnet/TFTP/SNMP)、送信元ホスト、実行プロセスごとに通信回数をカウントして表示するクエリ例です。 | // Find network connections on potentially risky ports (Telnet, TFTP, SNMP) #event\_simpleName=NetworkConnectIP4 \| in(RemotePort, values=\[23, 69, 161, 162\]) \| groupBy(\[RemotePort, RemoteAddressIP4, ComputerName, ContextBaseFileName\], function=count(as=ConnectionCount)) \| sort(ConnectionCount, order=desc) \| rename(field=RemotePort, as=DestinationPort) \| rename(field=RemoteAddressIP4, as=DestinationIP) \| rename(field=ComputerName, as=SourceHost) \| rename(field=ContextBaseFileName, as=Process) | | --- | ※以下は実行イメージとなります。 ![crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports\_02](https://info.nextmode.co.jp/hs-fs/hubfs/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports_02.png?width=1442&height=634&name=crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports_02.png) クエリ①の簡単な説明 **1. #event\_simpleName=NetworkConnectIP4** - **意味**：IPv4ネットワーク接続イベントの抽出 - **詳細**：CrowdStrike Falcon がログ出力する膨大なイベントの中から、IPv4 のネットワーク通信を表す **#event\_simpleName=NetworkConnectIP4** のログのみを対象としてフィルタリングします。 **2. `| in(RemotePort, values=[23, 69, 161, 162])`** - **意味**：特定のリスクポートへの通信のみに絞り込み - **詳細**：接続先ポート番号（RemotePort）が、指定した配列 \[23, 69, 161, 162\] のいずれかに一致するログを抽出します。 - **23**：Telnet（通信が暗号化されない平文プロトコル） - **69**：TFTP（認証機能のない簡易ファイル転送プロトコル） - **161** / **162**：SNMP / SNMP Trap（ネットワーク機器の監視用プロトコル。設定不備による情報漏洩のリスク） **3. `| groupBy([RemotePort, RemoteAddressIP4, ComputerName, ContextBaseFileName], function=count(as=ConnectionCount))`** - **意味**：接続要素ごとにデータをグループ化し、接続回数を集計 - **詳細**：指定した4つの項目（接続先ポート、接続先IP、端末名、実行プロセス名）が同じログを1つにまとめ、その組み合わせの発生回数を ConnectionCount という新しい項目（フィールド）としてカウントします。 **4. `| sort(ConnectionCount, order=desc)`** - **意味**：集計結果を通信回数の多い順に並び替え - **詳細**：4行目で作成した ConnectionCount の数値を基準に、降順（order=desc）で並び替えます。これにより、不審な通信を最も頻繁に行っている端末やプロセスを上位に表示させることができます。 **5. `| rename(field=RemotePort, as=DestinationPort)`** - **意味**：ポート番号の表示フィールド名を変更 - **詳細**：元のフィールド名 RemotePort を、より直感的に理解しやすい DestinationPort（宛先ポート）という名称に変更します。 **6. `| rename(field=RemoteAddressIP4, as=DestinationIP)`** - **意味**：接続先IPの表示フィールド名を変更 - **詳細**：元のフィールド名 RemoteAddressIP4 を DestinationIP（宛先IP）に変更します。 **7. `| rename(field=ComputerName, as=SourceHost)`** - **意味**：端末名の表示フィールド名を変更 - **詳細**：元のフィールド名 ComputerName を SourceHost（送信元ホスト）に変更します。 **8. `| rename(field=ContextBaseFileName, as=Process)`** - **意味**：実行プロセス名の表示フィールド名を変更 - **詳細**：通信を発生させた実行ファイル名を表す ContextBaseFileName（例: cmd.exe, powershell.exe など）を Process に変更します。 ## ②宛先ポートごとにカウントを表示（Telnet/TFTP/SNMP） --- 以下は、宛先ポート(Telnet/TFTP/SNMP)ごと「のみ」で通信回数を集計し、カウントを表示するシンプルなクエリ例です。 | #event\_simpleName=NetworkConnectIP4 \| in(RemotePort, values=\["23", "69", "161", "162"\]) \| groupBy(\[RemotePort\], function=count(as=ConnectionCount)) \| sort(ConnectionCount, order=desc) | | --- | ※以下は実行イメージとなります。 ![crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports\_03](https://info.nextmode.co.jp/hs-fs/hubfs/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports_03.png?width=1413&height=502&name=crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports_03.png) ### クエリ②の簡単な説明 **1. `#event_simpleName=NetworkConnectIP4`** - **意味**：IPv4ネットワーク接続イベントの抽出 - **詳細**：CrowdStrike Falcon が出力するログの中から、IPv4 のネットワーク通信イベントを表す **#event\_simpleName=NetworkConnectIP4** のログのみに対象を絞り込みます。 **2. `| in(RemotePort, values=["23", "69", "161", "162"])`** - **意味**：指定したリスクポート（23, 69, 161, 162）への通信に絞り込み - **詳細**：接続先ポート（RemotePort）が以下に示すリスクポートのいずれかであるログを抽出します。 - **23**：Telnet（平文通信） - **69**：TFTP（無認証ファイル転送）"161" / "162": SNMP / SNMP Trap（機器監視プロトコル） **3. `| groupBy([RemotePort], function=count(as=ConnectionCount))`** - **意味**：ポート番号「のみ」でグループ化し、通信回数を集計 - **詳細**：端末名やIPアドレス・プロセス名は含めず、RemotePort（ポート番号）ごとだけでデータをまとめています。それぞれのポートに対して何件の通信が発生したかをカウントし、ConnectionCount というフィールド名で出力します。 **4. `| sort(ConnectionCount, order=desc)`** - **意味**：通信回数が多いポート順に並び替え - **詳細**：3行目で集計した ConnectionCount（通信件数）を基準に、降順（order=desc）で並び替えます。これにより、組織内で最も頻繁に使われているリスクポートが最上位に表示されます。 ## ライセンス --- 高度なイベントクエリを利用するためには Falcon Insight、XDR などのサブスクリプションが必要となります。  ※その他ライセンスの詳細につきましては[弊社](https://nextmode.co.jp/services/saas/crowdstrike/)までお気軽にお問合せください。  ## **参考** --- - [Home \> イベントの調査 \> CrowdStrikeクエリ言語の使用を開始する \> Falconデータを使用したCrowdStrikeクエリ言語の詳細](https://docs.crowdstrike.com/r/ja-JP/jp-g6p281ck/jp-f22f03a6) ## さいごに --- 今回は特定のポートの利用有無を高度なイベントクエリで確認するコマンドの内容について解説いたしました。 この記事によってなにか新たな気づきがあり、皆さまの CrowdStrike Falconの運用一助となれば幸いです。 ## CrowdStrike Falconについてのお問い合わせ ネクストモードでは、CrowdStrike Falconをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！   [![SaaSバナー\_CrowdStrike](https://hubspot-no-cache-na2-prod.s3.amazonaws.com/cta/default/20481958/interactive-256988631790.png)](https://info.nextmode.co.jp/hs/cta/wi/redirect?encryptedPayload=AVxigLJxYNbM900WR88WzuK03KNQrS3clKEEk3MNWXlQWWcvJgkxdXDJxkoHKfEeLSWLzYe2qgqEabZoV667Ya38UfmurCpAOV7loxHwLvXz7pbTu4AVM7dJ3zEC2Gz8Bg4QiCoMLyep6B5nLgQrVkpWhDCyKvhUHNrwb4LJ98UW21hka61V4OUgcaBSqmktV9z8GAS3KLN7NBmvgT2w0vbbjTn4PpitVpw3yQ%3D%3D&webInteractiveContentId=256988631790&portalId=20481958) ### 関連記事 [![【Notion】Notion Workers は実務でどう使える？Linux パッケージの修正版リリース監視を即席で構築してみた](https://info.nextmode.co.jp/hubfs/Notion%20Blog.png) 【Notion】Notion Workers は実務でどう使える？Linux パッケージの修正版リリース監視を即席で構築してみた ![](https://info.nextmode.co.jp/hubfs/avator_yukinawa.jpg) yuki 2026/10/22](https://info.nextmode.co.jp/blog/notion-workers-urgent-patch-monitoring) [![【Okta】Okta × Google Workspace｜特権管理者のSSO制約とアカウント設計](https://info.nextmode.co.jp/hubfs/Okta_Blog.png) 【Okta】Okta × Google Workspace｜特権管理者のSSO制約とアカウント設計 ![](https://info.nextmode.co.jp/hubfs/unnamed.png) iwa 2026/10/20](https://info.nextmode.co.jp/blog/okta-google-workspace-super-admin-sso) [![WSL/WSLCの通信をNetskopeの配下に入れる](https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/Netskope_Blog.png) WSL/WSLCの通信をNetskopeの配下に入れる ![](https://info.nextmode.co.jp/hubfs/T03TPAV3UMD-U03U9APA0G7-27bb04892e0f-512.png) はん 2026/10/22](https://info.nextmode.co.jp/blog/wsl-netskope-governance) ### Category [» 技術](https://info.nextmode.co.jp/blog/tag/技術) [» Okta](https://info.nextmode.co.jp/blog/tag/okta) [» Notion](https://info.nextmode.co.jp/blog/tag/notion) [» イベントレポート](https://info.nextmode.co.jp/blog/tag/イベントレポート) [» Netskope](https://info.nextmode.co.jp/blog/tag/netskope) [» CrowdStrike](https://info.nextmode.co.jp/blog/tag/crowdstrike) [» Notion AI](https://info.nextmode.co.jp/blog/tag/notion-ai) [» AWS](https://info.nextmode.co.jp/blog/tag/aws) [» Asana](https://info.nextmode.co.jp/blog/tag/asana) [» カルチャー](https://info.nextmode.co.jp/blog/tag/カルチャー) [» ワーケーション](https://info.nextmode.co.jp/blog/tag/ワーケーション) [» 生成AIセキュリティ対策シリーズ](https://info.nextmode.co.jp/blog/tag/生成aiセキュリティ対策シリーズ) [» Oktane25](https://info.nextmode.co.jp/blog/tag/oktane25) [» SaaS](https://info.nextmode.co.jp/blog/tag/saas) [» リモートワーク](https://info.nextmode.co.jp/blog/tag/リモートワーク) [» AI](https://info.nextmode.co.jp/blog/tag/ai) [» re:Invent](https://info.nextmode.co.jp/blog/tag/reinvent) [» Keeper](https://info.nextmode.co.jp/blog/tag/keeper) [» ネクストモードアドベントカレンダー2024](https://info.nextmode.co.jp/blog/tag/ネクストモードアドベントカレンダー2024) [» Oktane24](https://info.nextmode.co.jp/blog/tag/oktane24) [» Oktane23](https://info.nextmode.co.jp/blog/tag/oktane23) [» Oktane26](https://info.nextmode.co.jp/blog/tag/oktane26) [» Asana AI](https://info.nextmode.co.jp/blog/tag/asana-ai) [» OIGシリーズ](https://info.nextmode.co.jp/blog/tag/oigシリーズ) [» Slack](https://info.nextmode.co.jp/blog/tag/slack) [» その他](https://info.nextmode.co.jp/blog/tag/その他) [» 脱Excelシリーズ](https://info.nextmode.co.jp/blog/tag/脱excelシリーズ) [» SysCloud](https://info.nextmode.co.jp/blog/tag/syscloud) [» Oktane22](https://info.nextmode.co.jp/blog/tag/oktane22) [» Google](https://info.nextmode.co.jp/blog/tag/google) [» HubSpot](https://info.nextmode.co.jp/blog/tag/hubspot) [» Zapier](https://info.nextmode.co.jp/blog/tag/zapier) [» Azure AD](https://info.nextmode.co.jp/blog/tag/azure-ad) [» Entra ID](https://info.nextmode.co.jp/blog/tag/entra-id) [» Googleドライブ](https://info.nextmode.co.jp/blog/tag/googleドライブ) [» SentinelOne](https://info.nextmode.co.jp/blog/tag/sentinelone) [» セキュリティ対策](https://info.nextmode.co.jp/blog/tag/セキュリティ対策) [» ゼロトラスト](https://info.nextmode.co.jp/blog/tag/ゼロトラスト) [» DocuSign](https://info.nextmode.co.jp/blog/tag/docusign) [» Jamf](https://info.nextmode.co.jp/blog/tag/jamf) [» トラブルシューティング](https://info.nextmode.co.jp/blog/tag/トラブルシューティング) [» 利用者目線](https://info.nextmode.co.jp/blog/tag/利用者目線) [» 運用](https://info.nextmode.co.jp/blog/tag/運用) [» GitHub](https://info.nextmode.co.jp/blog/tag/github) [» GitHub Gist](https://info.nextmode.co.jp/blog/tag/github-gist) [» JOUG](https://info.nextmode.co.jp/blog/tag/joug) [» Notion Calendar](https://info.nextmode.co.jp/blog/tag/notion-calendar) [» Proflly](https://info.nextmode.co.jp/blog/tag/proflly) [» Windows](https://info.nextmode.co.jp/blog/tag/windows) [» kintone](https://info.nextmode.co.jp/blog/tag/kintone) [![ネクストモード株式会社](https://nextmode.co.jp/assets/images/common/logo_white.svg)](https://nextmode.co.jp/) Service - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [Keeperライセンス＆サポート](https://nextmode.co.jp/services/saas/keeper/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) Company - [会社情報](https://nextmode.co.jp/company/) - [サービス一覧](https://nextmode.co.jp/services/) - [導入事例](https://nextmode.co.jp/casestudy/) - [お知らせ](https://nextmode.co.jp/news/) - [サステナビリティ](https://nextmode.co.jp/sustainability/) - [採用](https://nextmode.co.jp/recruit/) - [私たちの働き方](https://nextmode.co.jp/workstyle/) - [カルチャー](https://nextmode.co.jp/culture/) Contact - [お問い合わせ](https://nextmode.co.jp/contact/) - [資料請求](https://info.nextmode.co.jp/request/) Media - [セミナー](https://info.nextmode.co.jp/seminar) - [ブログ](https://info.nextmode.co.jp/blog) - [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) - [![ネクストモード公式YouTubeチャンネル](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA) - [![ネクストモード公式Xアカウント](https://nextmode.co.jp/assets/images/common/icon_x.svg)](https://twitter.com/Nextmode_Inc) [English](https://nextmode.co.jp/en/) - [NTTグループカスタマーハラスメント基本方針](https://group.ntt/jp/group/customer_harassment/) - [就活ハラスメント防止方針](https://docs.nextmode.co.jp/nextmode_recruit_harassment.pdf) - 運用アシスタント利用規約([AWS](https://docs.nextmode.co.jp/nextmode-unyo-assistant-aws-terms-of-use.pdf)/[Azure](https://docs.nextmode.co.jp/nextmode-unyo-assistant-azure-terms-of-use.pdf)) - [日中運用支援定型約款](https://docs.nextmode.co.jp/nextmode-nittyu-unyo-shien-terms-of-use.pdf) - [定型約款](https://docs.nextmode.co.jp/nextmode-standard-contracts.pdf) [プライバシーポリシー](https://nextmode.co.jp/company/privacy.html) Copyright(c) Nextmode, Inc. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "sobar", "url" : "https://info.nextmode.co.jp/blog/author/sobar" }, "dateModified" : "2026-09-15T00:45:18.153Z", "datePublished" : "2026-07-30T23:00:00.000Z", "headline" : "【CrowdStrike】特定のポートの利用有無を確認するための高度なイベントクエリ（Insight）｜Nextmode Blog", "image" : [ "https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/crowdstrike.png" ], "mainEntityOfPage" : { "@id" : "https://info.nextmode.co.jp/blog/crowdstrike-advanced-event-query-to-check-for-the-use-of-specific-ports", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://info.nextmode.co.jp/hubfs/nm_l_color.png" }, "name" : "ネクストモード株式会社" } } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nextmode.co.jp/#organization", "@type" : "Organization", "alternateName" : "Nextmode, Inc.", "logo" : "https://nextmode.co.jp/assets/images/common/logo_white.svg", "name" : "ネクストモード株式会社", "sameAs" : [ "https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA", "https://twitter.com/Nextmode_Inc", "https://info.nextmode.co.jp/" ], "url" : "https://nextmode.co.jp/" } ```