Śledź Każdy SIEM może zwrócić swoje dane w jednym z dwóch formatów: oryginalnych surowych wydarzeń lub własnym przetworzonym JSON. Do analizy poza SIEM, surowe wydarzenia są niemal zawsze lepszym wyborem. Wyeksportuj je wąskim oknem czasowym przez API lub CLI, nie przez przeglądarkę. Poniższa tabela pokazuje najlepszą drogę dla każdej głównej platformy, z linkiem do pełnego przewodnika.
Dlaczego w ogóle wyciągać dane z SIEM? Dla drugiej opinii, dzielić się z partnerem IR, który nie ma dostępu, lub uruchomić logikę detekcji, której Twój SIEM nie posiada. Prime Core ma 1 mln reguł detekcji na tych platformach, zmapowanych do 676 technik MITRE ATT&CK, a LogTotal uruchamia je na pliku za darmo.
Platforma po platformie
| Platforma | Najlepsza metoda eksportu | Co otrzymujesz | Pełny przewodnik |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata, lub REST search/v2/jobs/export z output_mode=raw | Oryginalne surowe linie | [Splunk] |
| IBM QRadar | Ariel REST API z UTF8(payload) | Oryginalne ładunki | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, lub _search z PIT | Dokumenty JSON; surowa linia jeśli zapisano w wiadomości | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT z search_after, lub ES|QL (do 10,000 wierszy) | Dokumenty JSON; surowa linia w event.original jeśli zachowano | [Elastic] |
| CrowdStrike Falcon | Eksport zaawansowanych wyszukiwań wydarzeń, lub Falcon Data Replicator | Telemetria Falcon jako JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Jeden obiekt JSON na wiersz | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Zaawansowane wiersze polowań jako JSON | [Defender XDR] |
| Google SecOps | UDM search API, lub Data Export API do Cloud Storage | UDM JSON, lub oryginalne surowe logi | [Google SecOps] |
Sześć zasad obowiązujących wszędzie
- Eksportuj wydarzenia, nie streszczenia. Wszystko, co kończy się na statystyki, podsumowanie, tabela lub agregacja to raport, nie logi.
- Zacznij od węższego zakresu. Host, źródło, typ wydarzenia, okno czasowe. Policz zanim pobierzesz; większość platform pokazuje liczbę w interfejsie użytkownika.
- Użyj API lub CLI dla ponad kilku tysięcy wydarzeń. Eksporty w przeglądarce kończą się powodzeniem, ponownie uruchamiają wyszukiwania, lub potajemnie ograniczają ilość wierszy.
- Zachowaj granicę uprawnień. Tokeny API często widzą mniej niż Twoja sesja UI: profile bezpieczeństwa QRadar, role Splunk, zakresy Graph. Kiedy liczby się nie zgadzają, sprawdź najpierw token.
- Zakotwicz strefę czasową. Używaj absolutnych okien w UTC lub z wyraźnym przesunięciem. Względne okna („ostatnie 24 godziny”) zmieniają się, jeśli wyszukiwanie zostanie uruchomione ponownie.
- Rozpakuj kopertę. Wiele API owija każde wydarzenie: ciąg JSON wewnątrz CloudTrailEvent, tablica Records, klucz wynikowy, wiadomość CloudWatch. Spłaszcz do jednego wydarzenia na linię z jq przed przesłaniem.
Czego SIEM nie może Ci zwrócić
- Oryginalne pliki binarne. Żaden SIEM nie zwraca plików Windows EVTX; otrzymujesz wyświetlony tekst lub JSON. Dla EVTX, idź do hosta.
- Dane spoza przechowywania. Kiedy są przeterminowane, lub przeniesione do archiwalnego poziomu, który wymaga przywrócenia, normalne wyszukiwanie ich nie znajdzie.
- Pola odrzucone podczas pobierania. Jeśli pipeline odrzucił surową linię lub pole, to zniknęło. Sprawdź zanim obiecasz analitykowi coś.
Prześlij, oczyść i przejrzyj w LogTotal
LogTotal odczytuje tekst w stylu syslog, JSON i EVTX. Przesyłanie tekstu i JSON przechodzi przez etap sanitizacji przed analizą.
- Prześlij. Otwórz logtotal.com i wrzuć swój eksport.
- Zdezynfekuj.
- Przejrzyj.
FAQ
Moje SIEM nie jest w tabeli. Czy to nadal działa?
Tak. Powyższe zasady obowiązują na każdej platformie: znajdź drogę API lub CLI, wyeksportuj surowe wydarzenia na wąskie okno, i spłaszcz JSON do jednego wydarzenia na linię. Dodajemy przewodniki dla reszty z ponad 65 platform wspieranych przez SOC Prime.
Dlaczego nie analizować tego po prostu w SIEM?
Często powinieneś. Sprawdzenie na podstawie pliku jest, gdy chcesz mieć drugi zestaw detekcji, musisz podzielić się danymi z kimś z zewnątrz, lub chcesz przetestować, co Twoje SIEM może pomijać.
