--- title: 【CrowdStrike】プロセスの実行確認のための高度なイベントクエリ（Insight） description: 今回はエンドポイント検知でIOA検知されたプロセスが実行されたのか？実行されていないのかを、高度なイベントクエリで確認する3つのコマンドの内容について解説します。 --- [![nextmode blog](https://info.nextmode.co.jp/hubfs/raw_assets/public/NextMode_Theme/nextmode%20blog.png)](https://info.nextmode.co.jp/blog) [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) [資料請求](https://info.nextmode.co.jp/request/) [お問い合わせ](https://nextmode.co.jp/contact/) - [会社TOP](https://nextmode.co.jp/) - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) - [導入事例](https://nextmode.co.jp/casestudy/) - [会社情報](https://nextmode.co.jp/company/) - [セミナー](https://info.nextmode.co.jp/seminar/) - [ブログ](https://info.nextmode.co.jp/blog) [![YouTube](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/@nextmode) 目次 Oct 19, 2026, 7:04:16 PM # 【CrowdStrike】プロセスの実行確認のための高度なイベントクエリ（Insight） [» 技術](https://info.nextmode.co.jp/test_nextmode-blog/tag/技術) [» CrowdStrike](https://info.nextmode.co.jp/test_nextmode-blog/tag/crowdstrike) [![akai](https://info.nextmode.co.jp/hs-fs/hubfs/IMG_1661.jpg?width=40&name=IMG_1661.jpg) akai](https://info.nextmode.co.jp/test_nextmode-blog/author/akai) 共有： [facebook-f icon](http://www.facebook.com/share.php?u=https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight) [linkedin-in icon](http://www.linkedin.com/shareArticle?mini=true&url=https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight) [Twitter icon](https://twitter.com/intent/tweet?url=https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight) [pinterest-p icon](http://pinterest.com/pin/create/link/?url=https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight) [envelope icon](mailto:?body=https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight) ## はじめに こんにちは、 [ネクストモード株式会社](https://nextmode.co.jp/) の sobar です。 今回はエンドポイント検知でIOA検知されたプロセスが実行されたのか？実行されていないのかを、高度なイベントクエリで確認するコマンドの内容について解説します。本記事では、過去のブログ（※）で紹介したようなエンドポイント検知（Malware via PUP）の場面において、調査対象ファイル（gsecdump-v2b5.exeなど）が『実際に実行されたのか？』を確認するためのコマンドについて解説します。 - [※【CrowdStrike】エンドポイント検知（Malware via PUP）の対応について（Prevent・Insight・Charlotte AI）](https://info.nextmode.co.jp/blog/crowdstrike-regarding-endpoint-detection-malware-via-pup-support) それでは以下より、調査 \> 高度なイベント検索 より実行するクエリを3つご紹介します。 ## ①実行（Process creation / 実行試行）を探す --- 以下は、特定の端末での不審なプロセスの実行調査する際にファイル名マッチングで検索、検索結果がある場合にテーブル出力を行うクエリ例です。 | #event\_simpleName=ProcessRollup2 \| ComputerName="LAPTOP-XXXXXXXX" \| FileName="gsecdump-v2b5.exe" OR ImageFileName=/gsecdump-v2b5\\.exe/i \| table(\[@timestamp, ComputerName, UserName, ImageFileName, CommandLine, ParentBaseFileName, SHA256HashData\]) | | --- | ※実行イメージは以下のブログをご参照ください。 - [【CrowdStrike】エンドポイント検知（Malware via PUP）の対応について（Prevent・Insight・Charlotte AI） \> 2) 「gsecdump-v2b5.exe」が実行された痕跡があるか確認（最重要） \> ①実行（Process creation / 実行試行）を探す](https://info.nextmode.co.jp/blog/crowdstrike-regarding-endpoint-detection-malware-via-pup-support#toc-section-11) ### クエリ①の簡単な説明 **1. `#event_simpleName=ProcessRollup2`** - **意味**：「プロセス実行（起動）」に関するイベントのみを検索対象にします。 - **詳細**：`ProcessRollup2` はプロセスが新しく実行されたことを記録するイベントタイプです。 **2. `| ComputerName="LAPTOP-XXXXXXXX"`** - **意味:** 検索対象の端末（ホスト）を **`LAPTOP-XXXXXXXX`** という名前のPCに絞り込みます。 - **詳細:** `|`（パイプ）を使って前の条件を引き継ぎます。特定の端末で不審な動きがあった際、その端末だけにフォーカスするために使用します。 **3. `| FileName="gsecdump-v2b5.exe" OR ImageFileName=/gsecdump-v2b5\.exe/i`** - **意味**：実行されたファイルの名前が `gsecdump-v2b5.exe` であるプロセスを探します。 - **詳細**：`OR` を使って、2つの異なるアプローチで同じツールを探しています。 - `FileName="gsecdump-v2b5.exe"：`ファイル名そのものが完全一致するかを確認します。 - **`ImageFileName=/gsecdump-v2b5\.exe/i`: `ImageFileName`**（通常は `C:\Temp\gsecdump-v2b5.exe` のようなフルパスが記録されるフィールド）の中に、指定した文字列が含まれているかを正規表現（大文字・小文字を区別しない）で確認します。 **4. `| table([@timestamp, ComputerName, UserName, ImageFileName, CommandLine, ParentBaseFileName, SHA256HashData])`** - **意味**：検索結果を、指定した項目（列）の表形式（テーブル）に整形。 - **カラム** - **`@timestamp`**`：`イベント発生日時いつ実行されたかを時系列で把握し、前後のログを追う起点にします。 - **`ComputerName`**`：`端末名どのPCで実行されたかを確認します（今回は条件で固定）。 - **`UserName`**：実行ユーザー管理者権限（SYSTEMなど）で動いたのか、一般ユーザー権限で動いたのかを確認。 - **`ImageFileName`**`：`実行ファイル名（パス）ファイルがどこに保存され、何という名前で実行されたかを確認。 - **`CommandLine`**`：`コマンドライン実行時にどのような引数やオプションが付与されていたかを確認（例: バックグラウンド実行や外部通信先の指定など）。 - **`ParentBaseFileName`**`：`親プロセス名このプロセスを「呼び出した」大元のプログラム名です（例: `cmd.exe` や `explorer.exe`）。侵入経路の特定に役立ちます。 - **`SHA256HashData`**`：`ファイルのハッシュ値指定したハッシュ値と一致しているかの最終確認です。 ## ②書き込み（ダウンロード/ドロップ）を探す --- 以下は、特定の端末での不審なプロセスの実行調査する際にファイルの作成・削除アクティビティの追跡で検索、検索結果がある場合にテーブル出力を行うクエリ例です。 | #event\_simpleName=NewExecutableWritten OR #event\_simpleName=ExecutableDeleted OR #event\_simpleName=NewScriptWritten \| ComputerName="LAPTOP-XXXXXXXX" \| TargetFileName=/gsecdump-v2b5\\.exe/i \| table(\[@timestamp, #event\_simpleName, ComputerName, TargetFileName, ContextBaseFileName, SHA256HashData\]) | | --- | ※実行イメージは以下のブログをご参照ください。 - [【CrowdStrike】エンドポイント検知（Malware via PUP）の対応について（Prevent・Insight・Charlotte AI） \> 2) 「gsecdump-v2b5.exe」が実行された痕跡があるか確認（最重要） \> ②書き込み（ダウンロード/ドロップ）を探す](https://info.nextmode.co.jp/blog/crowdstrike-regarding-endpoint-detection-malware-via-pup-support#toc-section-12) ### クエリ②の簡単な説明 **1. `#event_simpleName=NewExecutableWritten OR #event_simpleName=ExecutableDeleted OR #event_simpleName=NewScriptWritten`** - **意味**：検索対象を以下の3つのイベントに絞り込みます（`OR` なので、いずれかに該当すればヒットします）。 - `NewExecutableWritten：`**新しい実行ファイル（.exeなど）がディスクに書き込まれた（作成・保存された）** - `ExecutableDeleted：`**実行ファイルが削除された** - `NewScriptWritten：`**新しいスクリプトファイル（.ps1, .batなど）がディスクに書き込まれた** - **詳細**：マルウェアや攻撃ツールが端末に「持ち込まれた（ドロップされた）」瞬間と、証拠隠滅のために「消された」瞬間を捉えるための条件。 **2. `| ComputerName="LAPTOP-XXXXXXXX"`** - **意味**：検索対象の端末を **`LAPTOP-XXXXXXXX`** に絞り込みます。 **3. `| TargetFileName=/gsecdump-v2b5\.exe/i`** - **意味**：操作対象となったファイル名が `gsecdump-v2b5.exe` であるものに絞り込みます。 - **詳細**：`/ ～ /i` という書き方は**正規表現**を使用、末尾の `i` は「大文字・小文字を区別しない（case-**i**nsensitive）」という意味です。つまり、`GSECDUMP-v2b5.exe` でも `gsecdump-v2b5.EXE` でもヒットする。 - **補足**：`gsecdump` はWindowsの認証情報（パスワードハッシュなど）を窃取するためによく使われる有名なハッキングツール。 **4. `| table([@timestamp, #event_simpleName, ComputerName, TargetFileName, ContextBaseFileName, SHA256HashData])`** - **意味**：抽出した結果を、指定した項目のみの表形式（テーブル）に整形。 - **カラム** - **`@timestamp`**`：`イベント発生日時ツールが「いつ置かれて」「いつ消されたか」のタイムラインを把握。 - **`#event_simpleName`**`：`イベントの種類その行が「作成（Written）」なのか「削除（Deleted）」なのかを判別。 - **`ComputerName`**`：`端末名どのPCでの出来事かを確認（今回は固定）。 - **`TargetFileName`**`：`対象ファイル名実際に操作されたファイル名（例: `C:\Users\Public\gsecdump-v2b5.exe`）のフルパスなどを確認。 - **`ContextBaseFileName`**`：`**操作元プロセス名。** 誰（どのプログラム）がそのファイルを作成・削除したかを示します。例えば、ブラウザ（`chrome.exe`）が保存したのか、別のマルウェアが作成したのかが分かります。 - **`SHA256HashData：`**ファイルのハッシュ値そのファイルが間違いなく悪意のあるツールであるかをハッシュ値で裏付ける。 ## ③ハッシュベースの実行（Process creation / 実行試行）確認 --- 以下も①と同様ですが、特定の端末での不審なプロセスの実行調査する際にファイル名ではなくファイルのハッシュ値マッチングで検索、検索結果がある場合にテーブル出力を行うクエリ例です。 | #event\_simpleName=ProcessRollup2 \| ComputerName="LAPTOP-XXXXXXXX" \| SHA256HashData="94cae63dcbabb71c5dd43f55fd09caeffdcd7628a02a112fb3cba36698ef72bc" \| table(\[@timestamp, ComputerName, UserName, ImageFileName, CommandLine, ParentBaseFileName, SHA256HashData\]) | | --- | ※実行イメージは以下のブログをご参照ください。 - [【CrowdStrike】エンドポイント検知（Malware via PUP）の対応について（Prevent・Insight・Charlotte AI） \> 2) 「gsecdump-v2b5.exe」が実行された痕跡があるか確認（最重要） \> ③ハッシュベースの実行（Process creation / 実行試行）確認](https://info.nextmode.co.jp/blog/crowdstrike-regarding-endpoint-detection-malware-via-pup-support#toc-section-13) ### ※クエリ③の簡単な説明と①との違い 検索対象の違いとなります。③はファイル、イメージファイル名の検索ではなく、ハッシュ値で検索。 ①はファイル： | FileName="gsecdump-v2b5.exe" OR ImageFileName=/gsecdump-v2b5\\.exe/i **③はハッシュ値：`| SHA256HashData="..."`** : 探したいファイルのハッシュ値を指定。  **1. `| SHA256HashData="94cae63dcbabb71c5dd43f55fd09caeffdcd7628a02a112fb3cba36698ef72bc"`** - **意味**：実行されたファイルのSHA256ハッシュ値が、指定した値（`94cae6...`）と一致するものに絞り込みます。 - **詳細**：ファイル名が偽装されていても、ハッシュ値が一致すれば同一ファイルとみなすことができます。脅威インテリジェンスなどから得たIOC（侵害の痕跡）となるマルウェアのハッシュ値をここで指定し、実行の有無を確認します。 ## ライセンス --- 高度なイベントクエリを利用するためには Falcon Insight、XDR などのサブスクリプションが必要となります。  ※その他ライセンスの詳細につきましては[弊社](https://nextmode.co.jp/services/saas/crowdstrike/)までお気軽にお問合せください。  ## **参考** --- - [Home \> イベントの調査 \> CrowdStrikeクエリ言語の使用を開始する \> Falconデータを使用したCrowdStrikeクエリ言語の詳細](https://docs.crowdstrike.com/r/ja-JP/jp-g6p281ck/jp-f22f03a6) ## さいごに --- 今回はエンドポイント検知でIOA検知されたプロセスが実行されたのか？実行されていないのかを、高度なイベントクエリで確認するコマンドの内容についてご紹介いたしました。 この記事によってなにか新たな気づきがあり、皆さまの CrowdStrike Falconの運用一助となれば幸いです。 ## CrowdStrike Falconについてのお問い合わせ ネクストモードでは、CrowdStrike Falconをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！ ## [![SaaSバナー\_CrowdStrike](https://hubspot-no-cache-na2-prod.s3.amazonaws.com/cta/default/20481958/interactive-256988631790.png)](https://info.nextmode.co.jp/hs/cta/wi/redirect?encryptedPayload=AVxigLLNv0TlFK6DKfTbOxXdLySnmsMxZ2muV0bRmLbtf519pPP06b226t2c0dXAAMOEvyUk2Cas4K4ex2BVZzf%2BLyzUSiPnH7yB9vdw32o3R9lPMt6clRjhduESEg7JQHgkZHTNxQo8qf8uCboffh7wjKC5wepErNh9%2BogYkRFqyjggys%2FuUxiSV90LOh4Bh3%2BzQRbPen7vZwOnTIFEixzy11sYHQedOPM54w%3D%3D&webInteractiveContentId=256988631790&portalId=20481958) ### 関連記事 [【SysCloud】無料トライアルで何を確認する？導入判断のための7つのチェックポイント ![](https://info.nextmode.co.jp/hubfs/oharafu.png) おはらふ 2026/10/19](https://info.nextmode.co.jp/test_nextmode-blog/-syscloud-無料トライアルで何を確認する導入判断のための7つのチェックポイント) [![test](https://info.nextmode.co.jp/hubfs/%E3%83%96%E3%83%AD%E3%82%B0%EF%BC%BF%E3%82%AD%E3%83%BC%E3%83%93%E3%82%B8%E3%83%A5%E3%82%A2%E3%83%AB/Blog_Notion_Asana.png) test ![](https://info.nextmode.co.jp/hubfs/BEB75228-0FFA-4EB3-82BD-6EA1E7E1DD2A-1.jpg) いた 2026/01/28](https://info.nextmode.co.jp/test_nextmode-blog/test) ### Category [» AI](https://info.nextmode.co.jp/test_nextmode-blog/tag/ai) [![ネクストモード株式会社](https://nextmode.co.jp/assets/images/common/logo_white.svg)](https://nextmode.co.jp/) Service - [生成AIセキュリティ](https://nextmode.co.jp/services/ai/security/) - [SaaSライセンス＆サポート](https://nextmode.co.jp/services/saas/) - [Oktaライセンス＆サポート](https://nextmode.co.jp/services/saas/okta/) - [Netskopeライセンス＆サポート](https://nextmode.co.jp/services/saas/netskope/) - [Notionライセンス＆サポート](https://nextmode.co.jp/services/saas/notion/) - [Asanaライセンス＆サポート](https://nextmode.co.jp/services/saas/asana/) - [SysCloudライセンス＆サポート](https://nextmode.co.jp/services/saas/syscloud/) - [CrowdStrikeライセンス＆サポート](https://nextmode.co.jp/services/saas/crowdstrike/) - [Keeperライセンス＆サポート](https://nextmode.co.jp/services/saas/keeper/) - [AWS総合支援](https://nextmode.co.jp/services/aws/) - [AWS導入コンサル・構築](https://nextmode.co.jp/services/aws_consulting/) - [AWS運用・保守代行](https://nextmode.co.jp/services/aws_operation/) Company - [会社情報](https://nextmode.co.jp/company/) - [サービス一覧](https://nextmode.co.jp/services/) - [導入事例](https://nextmode.co.jp/casestudy/) - [お知らせ](https://nextmode.co.jp/news/) - [サステナビリティ](https://nextmode.co.jp/sustainability/) - [採用](https://nextmode.co.jp/recruit/) - [私たちの働き方](https://nextmode.co.jp/workstyle/) - [カルチャー](https://nextmode.co.jp/culture/) Contact - [お問い合わせ](https://nextmode.co.jp/contact/) - [資料請求](https://info.nextmode.co.jp/request/) Media - [セミナー](https://info.nextmode.co.jp/seminar) - [ブログ](https://info.nextmode.co.jp/blog) - [ホワイトペーパー](https://info.nextmode.co.jp/white-paper/) - [![ネクストモード公式YouTubeチャンネル](https://nextmode.co.jp/assets/images/common/icon_youtube.svg)](https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA) - [![ネクストモード公式Xアカウント](https://nextmode.co.jp/assets/images/common/icon_x.svg)](https://twitter.com/Nextmode_Inc) [English](https://nextmode.co.jp/en/) - [NTTグループカスタマーハラスメント基本方針](https://group.ntt/jp/group/customer_harassment/) - [就活ハラスメント防止方針](https://docs.nextmode.co.jp/nextmode_recruit_harassment.pdf) - 運用アシスタント利用規約([AWS](https://docs.nextmode.co.jp/nextmode-unyo-assistant-aws-terms-of-use.pdf)/[Azure](https://docs.nextmode.co.jp/nextmode-unyo-assistant-azure-terms-of-use.pdf)) - [日中運用支援定型約款](https://docs.nextmode.co.jp/nextmode-nittyu-unyo-shien-terms-of-use.pdf) - [定型約款](https://docs.nextmode.co.jp/nextmode-standard-contracts.pdf) [プライバシーポリシー](https://nextmode.co.jp/company/privacy.html) Copyright(c) Nextmode, Inc. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "akai", "url" : "https://info.nextmode.co.jp/test_nextmode-blog/author/akai" }, "dateModified" : "2026-10-19T10:04:16.672Z", "datePublished" : "2026-10-19T10:04:16.000Z", "headline" : "【CrowdStrike】プロセスの実行確認のための高度なイベントクエリ（Insight）", "mainEntityOfPage" : { "@id" : "https://info.nextmode.co.jp/test_nextmode-blog/-crowdstrike-プロセスの実行確認のための高度なイベントクエリinsight", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://info.nextmode.co.jp/hubfs/nm_l_color.png" }, "name" : "ネクストモード株式会社" } } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nextmode.co.jp/#organization", "@type" : "Organization", "alternateName" : "Nextmode, Inc.", "logo" : "https://nextmode.co.jp/assets/images/common/logo_white.svg", "name" : "ネクストモード株式会社", "sameAs" : [ "https://www.youtube.com/channel/UCeW8ocoe9C3E0GOINh167MA", "https://twitter.com/Nextmode_Inc", "https://info.nextmode.co.jp/" ], "url" : "https://nextmode.co.jp/" } ```