Cómo Exportar los Registros del Lago de Datos de SentinelOne Singularity

Envía una PowerQuery a la API de Singularity Data Lake en /api/powerQuery en tu URL regional de Data Lake, por ejemplo, https://xdr.us1.sentinelone.net. La respuesta se devuelve como una tabla (columnas más filas), y una línea de jq la convierte en un objeto JSON por evento. Alternativamente, exporta eventos directamente desde la consola de Singularity a través de Event Search. CSV es un formato de exportación comúnmente disponible, mientras que las descargas en JSON o texto plano pueden estar disponibles dependiendo de la interfaz.

Singularity Data Lake alberga la telemetría de endpoints de SentinelOne junto con cualquier registro de terceros que envíes, por lo que a menudo es la vista más amplia que tiene un cliente de SentinelOne. Prime Core tiene 14,699 reglas de detección para SentinelOne, mapeadas a 644 técnicas de MITRE ATT&CK. A continuación se explica cómo extraer datos, sanitizarlos e investigarlos gratis en LogTotal.

Empieza Gratis

Antes de comenzar

Un usuario de servicio con los permisos adecuados. Crea un usuario de servicio para acceder a la API y dale a su rol los permisos de consulta de Data Lake (API de Consulta SDL y Búsqueda SDL). Créalo en la cuenta o el nivel del sitio que realmente contiene los datos. Una clave creada en el ámbito incorrecto se autentica bien pero no devuelve nada.

Tu URL regional. EE. UU. es típicamente https://xdr.us1.sentinelone.net; otras regiones usan sus propios nombres de host. La sección de ayuda de la consola te proporciona la tuya.

Conoce los campos. La telemetría del endpoint usa nombres como endpoint.name, event.type, src.process.cmdline y tgt.process.cmdline. Los logs de terceros mantienen su texto original en un campo de mensaje. Prueba la consulta primero en Event Search.

Exporta con la API de PowerQuery

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# tabla -> un objeto JSON por fila
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

Los resultados de PowerQuery tienen un límite, así que divide ventanas largas en varias solicitudes.

La etapa de columnas decide lo que obtienes. Omite los campos que no necesitas, pero mantén las líneas de comando y los nombres de procesos: ahí es donde la mayoría de las detecciones buscan.

Exporta logs a través de la IU de Singularity Data Lake

Para investigaciones rápidas o muestras de logs más pequeñas, puedes exportar eventos directamente desde la consola de Singularity de SentinelOne sin usar la API.

1. Abre Event Search. Inicia sesión en la consola de Singularity de SentinelOne y navega a Event Search. Selecciona la cuenta o sitio que contenga tus logs.
2. Configura el rango de tiempo. Elige el periodo que deseas investigar y asegúrate de que las fuentes de datos correctas estén incluidas.
3. Ejecuta una consulta. Activar PowerQuery e ingresa un filtro de búsqueda, por ejemplo, endpoint.name = «WS-042». Ejecuta la búsqueda.
4. Revisar resultados. Verifica los eventos coincidentes y selecciona los campos que necesitas, como timestamp, endpoint.name, event.type, src.process.cmdline y tgt.process.cmdline. Evita funciones de agregación si necesitas eventos de logs individuales.
5. Exporta los resultados. Usa la opción Exportar or Descargar en el área de resultados. Dependiendo de la versión de la consola y el modo de búsqueda, puedes elegir entre CSV, JSON y texto plano.
6. Guarda el archivo. Descarga los resultados a tu computadora. Prefiere JSON cuando esté disponible, especialmente para telemetría de endpoints estructurada. Para logs de terceros, preserva el campo de mensaje que contiene el texto original del log.

Limitaciones. Los formatos de exportación y los límites de resultados varían según la versión de la consola y el modo de búsqueda. Las búsquedas grandes también pueden exceder el límite de exportación de la IU; estrecha el rango de tiempo o utiliza la API de Data Lake para conjuntos de datos más grandes.

Subir, sanitizar y revisar en LogTotal

1. Subir. Abre logtotal.com y deja caer el archivo .jsonl.
2. Sanitizar. 
3. Revisar. 

Cuando algo sale mal