Como Exportar Logs do Falcon LogScale

Envie sua consulta para a API de consulta LogScale, POST /api/v1/repositories/<repo>/query, e solicite application/x-ndjson: você receberá um evento por linha. A linha original do log está em @rawstring, então uma chamada jq transforma a exportação de volta em logs brutos. Alternativamente, exporte logs diretamente da interface LogScale como texto simples, JSON ou CSV.

LogScale (anteriormente Humio) é projetado para buscas de logs em grande volume, por isso frequentemente possui o registro mais completo que uma equipe tem. O Prime Core possui 23.747 regras de detecção para o Falcon LogScale, mapeadas para 674 técnicas do MITRE ATT&CK. Abaixo está como obter dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Este guia abrange o LogScale independente, na nuvem ou auto-hospedado. Se você usar o LogScale dentro do console Falcon como parte do SIEM de próxima geração, o console e suas APIs são diferentes.

Comece Gratuitamente

Antes de você começar

Um token. Crie um token de API com permissão para consultar o repositório. Trate-o como uma senha.

URL base e repositório. Clientes na nuvem usam o URL de sua região, como https://cloud.us.humio.com. Clusters auto-hospedados usam seu próprio hostname. Você também precisa do nome do repositório ou da visualização.

Retenção. Cada repositório tem sua própria retenção. Verifique antes de prometer a alguém uma semana de histórico.

Exportar com a API de consulta

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# apenas linhas brutas
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

Os valores de início e término são milissegundos de época; valores relativos como “24h” também funcionam. A sintaxe date -d é GNU, então no macOS calcule os timestamps de outra forma.

Mantenha a consulta como um filtro. Qualquer coisa que agrega (groupBy, count, timechart) retorna o agregado, não eventos. Para buscas muito longas ou pesadas, use a API de trabalhos de consulta, que executa a busca de forma assíncrona e permite que você verifique os resultados.

Exportar logs pela interface de busca do Falcon LogScale

Para investigações rápidas ou amostras menores de logs, você pode exportar eventos diretamente da interface web do Falcon LogScale sem usar a API.

1. Abra a Busca. Entre no Falcon LogScale, selecione o repositório ou visualização contendo seus logs e abra a página de Busca. Executar uma consulta.
2. Insira um filtro de busca, por exemplo host=web-03. Defina o intervalo de tempo e execute a busca. Revise os resultados.
3. Verifique se os eventos retornados correspondem ao que você precisa. Evite funções de agregação como groupBy(), count() ou timeChart() se você quer eventos de log individuais. Exporte os logs.
4. Nos resultados da busca, clique em Salvar > Exportar dados para arquivo Escolha o formato do arquivo..
5. Texto simples (.txt):
   • Exporta o campo @rawstring, preservando as linhas originais do log. Melhor para o LogTotal quando a fonte contém texto no estilo syslog. Exporta campos selecionados em uma tabela. Útil para relatórios, mas menos adequado para o LogTotal. Selecione ‘Selecionar tudo’ em ‘Campos para exportar’.
   • Exporta campos selecionados em uma tabela. Útil para relatórios, mas menos adequado para o LogTotal. Selecione ‘Selecionar tudo’ em ‘Campos para exportar’. Exporta objetos de evento completos, incluindo campos analisados e metadados. Melhor quando você precisa de eventos estruturados.
   • Exporta campos selecionados em uma tabela. Útil para relatórios, mas menos adequado para o LogTotal. Selecione ‘Selecionar tudo’ em ‘Campos para exportar’. Baixar.
6. Insira um nome de arquivo e clique em Exportar para salvar o arquivo localmente. Limitações.

A exportação de texto simples requer que o conteúdo original do log esteja disponível em @rawstring. Se esse campo estiver ausente, exporte os eventos completos como JSON. Para grandes conjuntos de dados, reduza o intervalo de tempo ou use a API de consulta. Exportações de busca não agregadas podem conter eventos em uma ordem diferente dos resultados da interface. Carregar, sanitizar e revisar no LogTotal

Carregar.

1. Abra e arraste o arquivo.  e arraste o arquivo.  Sanitizar.
2. Revisar. 
3. Quando dá errado 

Sintoma