Como Exportar Logs do SentinelOne Singularity Data Lake

Envie um PowerQuery para a API Singularity Data Lake em /api/powerQuery no seu URL regional do Data Lake, por exemplo, https://xdr.us1.sentinelone.net. A resposta vem de volta como uma tabela (colunas mais linhas), e uma linha jq a transforma em um objeto JSON por evento. Alternativamente, exporte eventos diretamente do console do Singularity através da Pesquisa de Eventos. CSV é um formato de exportação comumente disponível, enquanto downloads JSON ou texto simples podem estar disponíveis dependendo da interface.

O Singularity Data Lake contém a telemetria de endpoint do SentinelOne, juntamente com quaisquer logs de terceiros que você enviar, portanto, é frequentemente a visão mais ampla que um cliente do SentinelOne possui. O Prime Core possui 14.699 regras de detecção para o SentinelOne, mapeadas para 644 técnicas MITRE ATT&CK. Abaixo, está como extrair, sanitizar e investigar dados de graça no LogTotal.

Comece Gratuitamente

Antes de começar

Um usuário do serviço com as permissões corretas. Crie um usuário de serviço para acesso à API e dê ao seu papel as permissões de consulta do Data Lake (API de Consulta SDL e Pesquisa SDL). Crie-o no nível de conta ou site que realmente possui os dados. Uma chave feita no escopo errado autentica bem e não retorna nada.

Seu URL regional. Os EUA geralmente são https://xdr.us1.sentinelone.net; outras regiões usam seus próprios nomes de host. A seção de ajuda do console lista o seu.

Conheça os campos. A telemetria de endpoint usa nomes como endpoint.name, event.type, src.process.cmdline e tgt.process.cmdline. Logs de terceiros mantêm seu texto original em um campo de mensagem. Tente a consulta na Pesquisa de Eventos primeiro.

Exportar com a API PowerQuery

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# tabela -> um objeto JSON por linha
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

Os resultados do PowerQuery são limitados, então divida janelas longas em várias requisições.

A etapa de colunas decide o que você obtém. Deixe de lado os campos que você não precisa, mas mantenha as linhas de comando e nomes de processos: é onde a maioria das detecções ocorre.

Exportar logs através da interface do Singularity Data Lake

Para investigações rápidas ou amostras de log menores, você pode exportar eventos diretamente do console SentinelOne Singularity sem usar a API.

1. Abra a Pesquisa de Eventos. Entre no console SentinelOne Singularity e navegue para Pesquisa de Eventos. Selecione a conta ou site que contém seus logs.
2. Defina o intervalo de tempo. Escolha o período que você deseja investigar e certifique-se de que as fontes de dados corretas estão incluídas.
3. Execute uma consulta. Habilite PowerQuery e insira um filtro de pesquisa, por exemplo, endpoint.name = “WS-042”. Execute a busca.
4. Revise os resultados. Verifique os eventos correspondentes e selecione os campos que você precisa, como timestamp, endpoint.name, event.type, src.process.cmdline e tgt.process.cmdline. Evite funções de agregação se você precisar de eventos de log individuais.
5. Exporte os resultados. Use a opção Exportar or Baixar na área de resultados. Dependendo da versão do console e do modo de busca, você pode escolher entre CSV, JSON e texto simples.
6. Salve o arquivo. Baixe os resultados para o seu computador. Prefira JSON quando disponível, especialmente para telemetria de endpoint estruturada. Para logs de terceiros, preserve o campo de mensagem contendo o texto original do log.

Limitações. Os formatos de exportação e limites de resultados variam de acordo com a versão do console e modo de busca. Buscas grandes também podem exceder o limite de exportação UI; reduza o intervalo de tempo ou use a API do Data Lake para conjuntos de dados maiores.

Faça o upload, sanitize e revise no LogTotal

1. Upload. Abra logtotal.com e solte o arquivo .jsonl.
2. Sanitize. 
3. Revisar. 

Quando dá errado