데이터 엔지니어 · AI 엔지니어를 위한 핵심 요약
CrowdStrike Falcon은 클라우드 네이티브 엔드포인트 보호 플랫폼(EPP)이자 EDR / XDR 솔루션입니다. 단일 경량 에이전트(Sensor)로 실시간 탐지, 대응, 위협 헌팅을 제공하며, AI 기반 분석과 글로벌 위협 인텔리전스를 결합합니다.
IOA/IOC 기반 탐지, 행위 분석, 머신러닝 모델로 알려진/알려지지 않은 위협 식별.
Real‑Time Response (RTR), 자동 차단, 격리, 스크립트 기반 대응 플레이북.
크로스 도메인 상관 분석, Falcon OverWatch 매니지드 헌팅, API 기반 데이터 수집.
Falcon은 클라우드 콘솔에서 모든 엔드포인트를 중앙 관리하며, 오픈 API를 통해 SIEM/SOAR, 데이터 레이크와 쉽게 통합됩니다.
기존 EDR/AV 대비 Falcon이 제공하는 차별점:
| 항목 | CrowdStrike Falcon | 기타 EDR (전통적) |
|---|---|---|
| 아키텍처 | 클라우드 네이티브, 단일 에이전트 | 온프레미스 or 멀티 에이전트 |
| AI/ML 탐지 | 실시간 ML + IOA 정적/동적 분석 | 시그니처 기반, 지연 업데이트 |
| 성능 영향 | <1% CPU, 경량 (10 MB) | 무거운 스캔, 디스크 I/O 높음 |
| API & 데이터 접근 | GraphQL / REST API, 이벤트 스트리밍 | 제한적 API, 배치 export |
| 운영 모델 | SaaS, 매니지드 헌팅 (OverWatch) | 자체 운영, 인력 필요 |
# 1. CrowdStrike 콘솔에서 설치 토큰 발급
# 2. 패키지 다운로드 (RHEL/CentOS)
sudo yum install -y falcon-sensor-*.rpm
# 3. 센서 등록 (CID는 콘솔에서 확인)
sudo /opt/CrowdStrike/falconctl -s --cid=ABCDEF1234567890
# 4. 서비스 시작
sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor
# 5. 상태 확인
falconctl statusimport requests
# OAuth2 토큰 발급
def get_token(client_id, client_secret):
url = "https://api.crowdstrike.com/oauth2/token"
payload = {
"client_id": client_id,
"client_secret": client_secret
}
headers = {"accept": "application/json"}
r = requests.post(url, data=payload, headers=headers)
r.raise_for_status()
return r.json()["access_token"]
# 호스트 목록 조회
def list_hosts(token):
url = "https://api.crowdstrike.com/hosts/queries/devices/v1"
headers = {"Authorization": f"Bearer {token}"}
r = requests.get(url, headers=headers)
return r.json()
# 사용 예
token = get_token("YOUR_CLIENT_ID", "YOUR_CLIENT_SECRET")
hosts = list_hosts(token)
print(f"총 호스트 수: {len(hosts['resources'])}")# falconctl 을 통한 센서 파라미터 확인
falconctl -g --cid
falconctl -g --aid
# 실시간 배치 (RTR) 시작
falcon rtr -H 192.168.1.100 -c "runscript -CloudFile=remote_script.ps1"| 설정 항목 | 명령어 / 파라미터 | 설명 |
|---|---|---|
| 센서 등록 (CID) | falconctl -s --cid= |
콘솔 고유 ID, 초기 등록 필수 |
| 에이전트 그룹 지정 | falconctl -s --tags="group:prod" |
정책 적용을 위한 그룹 태그 |
| 프록시 설정 | falconctl -s --proxy-host=... --proxy-port=... |
아웃바운드 프록시 환경에서 필요 |
| Bypass 모드 | falconctl -s --mode=bypass |
문제 발생 시 탐지/차단 일시 중단 |
| 이벤트 스트림 구독 | API POST /event-streams/entities/subscriptions/v1 |
Kinesis/Kafka, S3 전송 설정 |
| Prevention Policy | 콘솔 > Prevention Policies > Create | ML, IOA, 커스텀 규칙 조합 |
참고: 모든 falconctl 옵션은 매뉴얼(man falconctl) 또는 falconctl -h로 확인 가능합니다.
| 문제 상황 | 원인 | 해결 방법 |
|---|---|---|
| 센서 연결 끊김 (Not Reporting) | 프록시/방화벽 차단, 잘못된 CID | falconctl -g --cid 확인, 방화벽 허용: *.crowdstrike.com:443 |
| CPU/메모리 급증 | 과도한 이벤트, 구버전 센서 | 센서 최신 버전 업데이트, 예외 프로세스 등록 |
| API 401 Unauthorized | 토큰 만료, 잘못된 scope | OAuth2 클라이언트 재발급, Write 권한 확인 |
| RTR 연결 실패 | PSF(Push Secure Framework) 비활성 | Prevention Policy에서 RTR 허용, 네트워크 확인 |
| 이벤트 스트림 지연 | Kinesis 샤드 부족, consumer lag | 샤드 증설, consumer 그룹 재조정 |
/var/log/falcon-sensor.log에서 확인. 진단을 위해 falconctl -g --debug를 켜고 재현.
※ 2026.03 기준. 일부 내용은 업데이트될 수 있습니다.