Segui Ogni SIEM può restituire i suoi dati in una delle due forme: gli eventi grezzi originali o il proprio JSON analizzato. Per l’analisi al di fuori del SIEM, gli eventi grezzi sono quasi sempre la scelta migliore. Esportali per una finestra temporale ristretta tramite l’API o CLI, non il browser. La tabella seguente mostra il percorso migliore per ciascuna piattaforma principale, con un link alla guida completa.
Perché preoccuparsi di estrarre dati da un SIEM? Per un secondo parere, per condividerli con un partner IR che non ha accesso, o per eseguire una logica di rilevamento che il tuo SIEM non possiede. Prime Core ha 1 milione di regole di rilevamento su queste piattaforme, mappate a 676 tecniche MITRE ATT&CK, e LogTotal le esegue su un file gratuitamente.
Piattaforma per piattaforma
| Piattaforma | Miglior percorso di esportazione | Cosa ottieni | Guida completa |
|---|---|---|---|
| Splunk | CLI ricerca Splunk -output rawdata, o REST ricerca/v2/jobs/export con output_mode=raw | Linee grezze originali | [Splunk] |
| IBM QRadar | Ariel REST API con UTF8(payload) | Payload originali | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, o _search con PIT | Documenti JSON; linea grezza se mantenuta in message | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT con search_after, o ES|QL (fino a 10.000 righe) | Documenti JSON; linea grezza in event.original se preservata | [Elastic] |
| CrowdStrike Falcon | Esportazione Ricerca Eventi Avanzati, o Falcon Data Replicator | Telemetria Falcon come JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Un oggetto JSON per riga | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Righe di caccia avanzata come JSON | [Defender XDR] |
| Google SecOps | API di ricerca UDM, o API di esportazione dati su Cloud Storage | UDM JSON, o log grezzi originali | [Google SecOps] |
Sei regole che si applicano ovunque
- Esporta eventi, non riassunti. Qualsiasi cosa che finisca in statistiche, riepilogo, tabella o un’aggregazione è un rapporto, non log.
- Restringi prima. Host, sorgente, tipo di evento, finestra temporale. Conta prima di estrarre; la maggior parte delle piattaforme mostra il numero nell’interfaccia utente.
- Usa l’API o CLI per qualsiasi cosa superiore a qualche migliaio di eventi. Le esportazioni del browser vanno in timeout, ripetono le ricerche o limitano silenziosamente il numero di righe.
- Fai attenzione al limite di permesso. I token API vedono spesso meno della tua sessione UI: profili di sicurezza QRadar, ruoli Splunk, ambiti Graph. Quando i numeri non coincidono, controlla prima il token.
- Blocca il fuso orario. Usa finestre assolute in UTC o con uno scostamento esplicito. Le finestre relative (“ultime 24 ore”) si spostano se una ricerca viene eseguita nuovamente.
- Scarta la busta. Molte API avvolgono ogni evento: una stringa JSON all’interno di CloudTrailEvent, un array Records, una chiave di risultato, un messaggio di CloudWatch. Appiattisci a un evento per riga con jq prima di caricarlo.
Cosa un SIEM non può restituirti
- Binari originali. Nessun SIEM restituisce file EVTX di Windows; ottieni testo renderizzato o JSON. Per EVTX, vai al host.
- Dati oltre il tempo di conservazione. Una volta invecchiato, o spostato in un livello di archiviazione che necessita di un ripristino, una normale ricerca non lo troverà.
- Campi eliminati durante l’ingestione. Se la pipeline ha eliminato la linea grezza o un campo, è persa. Controlla prima di promettere qualcosa a un analista.
Carica, sanitizza e rivedi su LogTotal
LogTotal legge testo stile syslog, JSON e EVTX. Caricamenti di testo e JSON passano attraverso il passaggio di sanificazione prima dell’analisi.
- Carica. Apri logtotal.com e carica il tuo export.
- Sanitizza.
- Rivedi.
FAQ
Il mio SIEM non è in tabella. Funziona comunque?
Sì. Le regole sopra si applicano a qualsiasi piattaforma: trova il percorso API o CLI, esporta eventi grezzi per una finestra ristretta e appiattisci JSON a un evento per riga. Stiamo aggiungendo guide per il resto delle oltre 65 piattaforme supportate da SOC Prime.
Perché non analizzarlo semplicemente nel SIEM?
Spesso dovresti. Un controllo basato su file è per quando vuoi un secondo set di rilevamenti, devi condividere dati con qualcuno esterno o vuoi testare ciò che il tuo SIEM potrebbe mancare.
