Seguir Todo SIEM pode devolver seus dados em uma de duas formas: os eventos brutos originais ou seu próprio JSON analisado. Para análise fora do SIEM, eventos brutos são quase sempre a melhor escolha. Exporte-os para uma janela de tempo estreita através da API ou CLI, não pelo navegador. A tabela abaixo mostra o melhor caminho para cada plataforma principal, com um link para o guia completo.
Por que se preocupar em retirar dados de um SIEM? Para uma segunda opinião, para compartilhar com um parceiro de RI que não tem acesso, ou para executar lógica de detecção que seu SIEM não possui. O Prime Core tem 1 milhão de regras de detecção em todas estas plataformas, mapeadas para 676 técnicas MITRE ATT&CK, e o LogTotal as executa em um arquivo gratuitamente.
Plataforma por plataforma
| Plataforma | Melhor rota de exportação | O que você obtém | Guia completo |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata, ou REST search/v2/jobs/export com output_mode=raw | Linhas brutas originais | [Splunk] |
| IBM QRadar | API REST Ariel com UTF8(payload) | Payloads originais | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, ou _search com PIT | Documentos JSON; linha bruta se mantida em mensagem | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT com search_after, ou ES|QL (até 10.000 linhas) | Documentos JSON; linha bruta em event.original se preservada | [Elastic] |
| CrowdStrike Falcon | Exportação de Pesquisa de Eventos Avançados, ou Falcon Data Replicator | Telemetria Falcon como JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Um objeto JSON por linha | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Linhas de caça avançada como JSON | [Defender XDR] |
| Google SecOps | API de busca UDM, ou API de Exportação de Dados para Cloud Storage | JSON UDM, ou logs brutos originais | [Google SecOps] |
Seis regras que se aplicam em todos os lugares
- Exporte eventos, não resumos. Qualquer coisa que termine em stats, summarize, table ou uma agregação é um relatório, não logs.
- Estreite primeiro. Host, fonte, tipo de evento, janela de tempo. Conte antes de puxar; a maioria das plataformas mostra o número na interface.
- Use a API ou CLI para qualquer coisa acima de alguns milhares de eventos. Exportações pelo navegador expiram, refazem buscas ou silenciosamente limitam a contagem de linhas.
- Atenção ao limite de permissão. Tokens de API muitas vezes veem menos que sua sessão na interface: perfis de segurança QRadar, funções do Splunk, escopos do Graph. Quando os números não batem, verifique o token primeiro.
- Fixe o fuso horário. Use janelas absolutas em UTC ou com um deslocamento explícito. Janelas relativas (“últimas 24 horas”) se deslocam se uma busca for refeita.
- Desembrulhe o envelope. Muitas APIs envolvem cada evento: uma string JSON dentro de CloudTrailEvent, um array Records, uma chave de resultado, uma mensagem CloudWatch. Achate para um evento por linha com jq antes de fazer upload.
O que um SIEM não pode te devolver
- Binários originais. Nenhum SIEM retorna arquivos EVTX do Windows; você obtém texto renderizado ou JSON. Para EVTX, vá até o host.
- Dados além da retenção. Uma vez que envelheceu, ou foi movido para um tier de arquivamento que precisa de restauração, uma busca normal não o encontrará.
- Campos descartados na ingestão. If the pipeline discarded the raw line or a field, it’s gone. Check before you promise an analyst something.
Faça upload, sanitize e revise no LogTotal
O LogTotal lê texto estilo syslog, JSON e EVTX. Uploads de texto e JSON passam pela etapa de sanitização antes da análise.
- Fazer upload. Abra logtotal.com e soltar sua exportação.
- Sanitize.
- Revise.
FAQ
Meu SIEM não está na tabela. Isso ainda funciona?
Sim. As regras acima se aplicam a qualquer plataforma: encontre a rota API ou CLI, exporte eventos brutos para uma janela apertada e achate JSON para um evento por linha. Estamos adicionando guias para o restante das 65+ plataformas que o SOC Prime suporta.
Por que não analisá-lo apenas no SIEM?
Muitas vezes você deve. Uma verificação baseada em arquivo é para quando você quer um segundo conjunto de detecções, precisa compartilhar dados com alguém externo, ou quer testar o que seu SIEM pode estar faltando.
