インターネットに接続されたサーバーの発見は、サイバーキルチェーンの偵察フェーズにおける攻撃者の行動の一例です。偵察フェーズでは、攻撃者は標的、脆弱性、攻撃経路を調査・特定します。インターネットに接続されたサーバーの発見は、攻撃者が標的ネットワークにおける潜在的な侵入経路や弱点を見つけるための手段となります。

table コマンドは、イベント発生履歴と、フルパス、時刻、ユーザー名などの選択されたフィールドの一覧を作成するために使用されます。1 つ以上のフィールド名を引数として受け取り、表形式で表示します。fields コマンドは、検索結果からフィールドを保持または削除するために使用され、フィールドを一覧表示するために使用されるものではありません。distinct_count コマンドは、フィールドの一意の値をカウントするために使用され、フィールドを一覧表示するために使用されるものではありません。values コマンドは、各グループ内のフィールドの一意の値の一覧を表示するために使用され、イベント発生履歴全体を表示するために使用されるものではありません。

Falcon ドキュメントにあるイベントデータ辞書は、Falcon コンソールの [調査] > [イベント検索] ページに表示されるイベントに関する情報を参照できるため、ハンティングクエリを作成する際に役立ちます。イベントデータ辞書には、イベントデータのクエリと分析に使用できる各イベントタイプ、フィールド名、データ型、説明、およびサンプル値が記載されています。ストリーミング API イベント辞書、ハンティングと調査、およびイベントストリーム API は、主要なデータフィールドやセンサーイベントの詳細を提供するドキュメントではありません。

PowerShell Hunt レポートでは、フィルタリング条件 commandLine! ="badstring " によって、"badstring" を含むコマンド行が表示されなくなります。! 演算子は、検索結果から条件を否定または除外するために使用されます。* 演算子は、指定された文字列の前後の任意の数の文字に一致するワイルドカードとして使用されます。したがって、commandLine! ="badstring " は、コマンド行のどこかに "badstring" が含まれているすべてのコマンド行をフィルタリングすることを意味します。他のオプションは、フィルタリング条件の動作を説明していないため、正しくありません。

イベント検索データは、UTC（協定世界時）タイムゾーンで記録されます。UTCは、他のタイムゾーンの基準点として使用される標準タイムゾーンです。PST（太平洋標準時）、GMT（グリニッジ標準時）、EST（東部標準時）は、イベント検索データの記録に使用されるタイムゾーンではありません。