Falcon LogScale 로그 내보내기 방법

LogScale 쿼리 API에 당신의 쿼리를 보내려면, POST /api/v1/repositories/<repo>/query를 사용하고, application/x-ndjson을 요청하십시오: 한 줄당 하나의 이벤트를 받습니다. 원래 로그 라인은 @rawstring에 있으며, 하나의 jq 호출로 내보내기를 원래 로그로 전환할 수 있습니다. 또는 LogScale UI에서 로그를 직접 일반 텍스트, JSON 또는 CSV로 내보내십시오.

LogScale(이전 Humio)은 대용량 로그 검색을 위해 구축되었으므로 팀이 가지고 있는 가장 완벽한 기록을 자주 보유합니다. Prime Core는 Falcon LogScale에 대해 23,747개의 탐지 규칙을 가지고 있으며, 674개의 MITRE ATT&CK 기법에 매핑되어 있습니다. 아래는 데이터를 추출하고, 정리하며, LogTotal에서 무료로 조사하는 방법입니다.

이 가이드는 독립 실행형 LogScale, 클라우드 또는 자체 호스트에 대해 다룹니다. LogScale을 Falcon 콘솔 내의 Next-Gen SIEM의 일부로 사용하는 경우, 콘솔 및 API가 다릅니다.

무료로 시작하기

시작하기 전에

토큰. 저장소를 쿼리할 수 있는 권한으로 API 토큰을 생성하십시오. 비밀번호처럼 취급하십시오.

기본 URL과 저장소. 클라우드 고객은 자신의 지역 URL을 사용합니다, 예: https://cloud.us.humio.com. 자체 호스팅된 클러스터는 자체 호스트 이름을 사용합니다. 또한 저장소 또는 보기 이름이 필요합니다.

보존. 각 저장소는 자체 보존 설정을 가지고 있습니다. 일주일의 기록을 누구에게 약속하기 전에 확인하십시오.

쿼리 API로 내보내기

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# 원시 줄만
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

시작 및 종료 값은 epoch 밀리초이며, “24h”와 같은 상대 값도 작동합니다. date -d 구문은 GNU이므로, macOS에서는 다른 방법으로 타임스탬프를 계산하십시오.

쿼리를 필터로 유지하십시오. 집계(groupBy, count, timechart)를 하는 것은 이벤트가 아니라 집계 결과를 반환합니다. 매우 길거나 무거운 검색의 경우 비동기적으로 검색을 수행하고 결과를 폴링할 수 있는 쿼리 작업 API를 사용하십시오.

Falcon LogScale 검색 UI로 로그 내보내기

빠른 조사나 작은 로그 샘플의 경우, API를 사용하지 않고 Falcon LogScale 웹 인터페이스에서 직접 이벤트를 내보낼 수 있습니다.

1. 검색 열기. Falcon LogScale에 로그인하고 로그가 포함된 저장소 또는 보기를 선택하여 열기 검색 페이지.
2. 쿼리 실행. 예를 들어 host=web-03와 같은 검색 필터를 입력하십시오. 시간 범위를 설정하고 검색을 실행하십시오.
3. 결과 검토. 반환된 이벤트가 필요에 맞는지 확인하십시오. 개별 로그 이벤트를 원할 경우 groupBy(), count() 또는 timeChart()와 같은 집계 함수 사용을 피하십시오.
4. 로그 내보내기. 검색 결과에서 클릭: 저장 > 데이터를 파일로 내보내기.
5. 파일 형식 선택.
   • 텍스트(.txt) 형식: 원래 로그 라인을 보존하여 @rawstring 필드를 내보냅니다. 소스가 syslog 스타일의 텍스트를 포함할 때 LogTotal에 가장 적합합니다.
   • JSON (.json): 구문 분석된 필드 및 메타데이터를 포함하여 이벤트 객체를 완전히 내보냅니다. 구조화된 이벤트가 필요할 때 가장 좋습니다.
   • CSV (.csv): 선택한 필드를 테이블로 내보냅니다. 보고에 유용하지만 LogTotal에는 덜 적합합니다. ‘내보낼 필드에서 모두 선택’을 선택하십시오.
6. 다운로드. 파일 이름을 입력하고 클릭: 내보내기 로컬에 파일을 저장하려면.

제한 사항. 원문 로그 내용이 @rawstring에 있어야 일반 텍스트 내보내기가 가능합니다. 그 필드가 없으면 전체 이벤트를 JSON으로 내보내십시오. 대량 데이터셋의 경우, 시간 범위를 좁히거나 쿼리 API를 사용하십시오. 비집계 검색의 내보내기는 UI 결과와 다른 순서로 이벤트를 포함할 수 있습니다.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 오픈 logtotal.com 그리고 파일을 넣으십시오.
2. 정리. 
3. 검토. 

문제가 발생했을 때