Falcon LogScaleログをエクスポートする方法

LogScale クエリ API にクエリを送信し、POST /api/v1/repositories/<repo>/query で application/x-ndjson を要求すると、1行ごとにイベントを取得できます。オリジナルのログ行は @rawstring に保存されており、jq コマンドを使えばエクスポートを元のログに戻せます。あるいは、LogScale UI から直接プレーンテキスト、JSON、CSV としてログをエクスポートすることもできます。

LogScale (旧称 Humio) は高ボリュームのログ検索のために構築されており、チームが持つ最も完全な記録を保持していることが多いです。Prime Core には Falcon LogScale 用に 23,747 の検出ルールがあり、674 の MITRE ATT&CK 技術にマッピングされています。以下に、データを取り出し、洗浄し、LogTotal で無料で調査する方法を示します。

このガイドは、スタンドアロンの LogScale、クラウドまたはセルフホスト型について説明しています。LogScale を Next-Gen SIEM の一部として Falcon コンソール内で使用する場合、コンソールとその API は異なります。

無料で始める

始める前に

トークン。 リポジトリをクエリする許可のある API トークンを作成します。それをパスワードのように扱います。

基本 URL とリポジトリ。 クラウドのお客様は、https://cloud.us.humio.com のように各地域の URL を使用します。セルフホスト型クラスターは独自のホスト名を使用します。またリポジトリまたはビュー名も必要です。

保持。 各リポジトリには独自の保持期間があります。誰かに履歴を約束する前にそれを確認してください。

クエリ API を使用してエクスポート

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# 生の行のみに
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

開始と終了の値はエポックミリ秒です。「24h」のような相対的な値も機能します。date -d の構文は GNU 形式なので、macOS 上では別の方法でタイムスタンプを計算してください。

クエリをフィルターとして保持します。グループや集計 (groupBy, count, timechart) をすると、集計結果を返します。非常に長いまたは重い検索の場合は、非同期に実行され結果をポーリングできるクエリジョブ API を使用してください。

Falcon LogScale 検索 UI からログをエクスポート

迅速な調査や小規模なログサンプルの場合、API を使用せず Falcon LogScale の Web インターフェースから直接イベントをエクスポートできます。

1. 検索を開く。 Falcon LogScale にサインインし、ログを含むリポジトリまたはビューを選択して、 検索 ページを開きます。
2. クエリを実行する。 検索フィルターを入力し、例えば host=web-03 のように設定し、時間範囲を指定して検索を実行します。
3. 結果を確認する。 返されたイベントが必要な内容と一致することを確認します。個別のログイベントが必要な場合は、groupBy()、count()、timeChart() などの集計関数を避けてください。
4. ログをエクスポートする。 検索結果からクリックし 保存 > データをファイルにエクスポート.
5. ファイル形式を選択する。
   • プレーンテキスト (.txt): @rawstring フィールドをエクスポートし、オリジナルのログ行を保持します。ソースが syslog スタイルのテキストである場合、LogTotal に最適です。
   • JSON (.json): 解析されたフィールドやメタデータを含む完全なイベントオブジェクトをエクスポートします。構造化されたイベントが必要な場合に最適です。
   • CSV (.csv): 選択されたフィールドをテーブルにエクスポートします。レポートに便利ですが、LogTotal にはやや不向きです。「エクスポートするフィールドで『すべて選択』を選択してください。」
6. ダウンロード。 ファイル名を入力し、クリックして エクスポート し、ファイルをローカルに保存します。

制限。 プレーンテキストのエクスポートは、オリジナルのログコンテンツが @rawstring に存在することを必要とします。このフィールドが欠けている場合、完全なイベントを JSON としてエクスポートしてください。大規模なデータセットの場合、時間範囲を狭めるか、クエリ API を使用します。非集計の検索エクスポートには、UI の結果と異なる順序でイベントが含まれる場合があります。

LogTotal でアップロード、サニタイズ、レビュー

1. アップロード。 開く logtotal.com し、ファイルをドロップします。
2. サニタイズ。 
3. レビュー。 

問題が発生した場合