SentinelOne Singularity Data Lakeログをエクスポートする方法

地域のデータレイクURLの/api/powerQueryでSingularity Data Lake APIにPowerQueryを送信します。例えば、https://xdr.us1.sentinelone.netです。応答はテーブル（列と行）として返され、1つのjq行でイベントごとに1つのJSONオブジェクトに変換されます。あるいは、Singularityコンソールのイベント検索を通じてイベントを直接エクスポートすることもできます。CSVは一般的に利用可能なエクスポート形式であり、インターフェースによってはJSONまたはプレーンテキストのダウンロードが可能です。

Singularity Data Lakeは、SentinelOneのエンドポイントテレメトリーと、お客様が送信したサードパーティのログを一緒に保持しているため、SentinelOneの顧客が最も広範な視野を持つことがよくあります。Prime Coreは、SentinelOne用に14,699の検出ルールを持ち、644のMITRE ATT&CK技術にマッピングされています。以下は、データを取り出し、洗浄し、LogTotalで無料で調査する方法です。

無料で始める

始める前に

適切な権限を持つサービスユーザー。 APIアクセス用のサービスユーザーを作成し、その役割にData Lakeクエリ権限（SDL Query APIおよびSDL Search）を付与します。実際にデータを保持しているアカウントまたはサイトレベルでこれを作成します。誤ったスコープで作成されたキーは認証は通りますが、何も返しません。

あなたの地域のURL。 米国は通常https://xdr.us1.sentinelone.netですが、その他の地域は独自のホスト名を使用します。コンソールのヘルプセクションにはあなたのURLがリストされています。

フィールドを知る。 エンドポイントテレメトリーは、endpoint.name、event.type、src.process.cmdline、tgt.process.cmdlineなどの名前を使用します。サードパーティのログは、メッセージフィールドに元のテキストを保持します。まずEvent Searchでクエリを試してください。

PowerQuery APIでエクスポート

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# テーブル -> 1行につき1つのJSONオブジェクト
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

PowerQueryの結果には上限があるので、長いウィンドウは複数のリクエストに分割します。

カラムステージで何を得るかが決まります。不要なフィールドを省くことができますが、コマンドラインとプロセス名前は残しておいてください。それがほとんどの検出が行われる場所です。

Singularity Data Lake UIを通じてログをエクスポート

簡単な調査や小規模なログサンプルの場合、APIを使用せずにSentinelOne Singularityコンソールからイベントを直接エクスポートできます。

1. イベント検索を開く。 SentinelOne Singularityコンソールにサインインし、 イベント検索へ移動します。ログを含むアカウントまたはサイトを選択します。
2. 時間範囲を設定。 調査したい期間を選択し、正しいデータソースが含まれていることを確認します。
3. クエリを実行。 有効化する PowerQuery を選択し、例えばendpoint.name = “WS-042″のような検索フィルタを入力します。検索を実行します。
4. 結果を確認。 一致するイベントを確認し、timestamp、endpoint.name、event.type、src.process.cmdline、tgt.process.cmdlineなどの必要なフィールドを選択します。個々のログイベントが必要な場合は集計関数を使用しないでください。
5. 結果をエクスポート。 結果エリアで エクスポート or ダウンロード オプションを使用します。コンソールのバージョンと検索モードによって、CSV、JSON、およびプレーンテキストの選択ができる場合があります。
6. ファイルを保存。 結果をコンピューターにダウンロードします。利用可能な場合は特に構造化されたエンドポイントテレメトリーにはJSONを好んでください。サードパーティのログには元のログテキストを含むメッセージフィールドを保護します。

制約。 エクスポート形式と結果の制限はコンソールバージョンと検索モードにより異なります。大規模な検索もUIのエクスポート制限を超えることがあります。時間範囲を狭めるか、より大きなデータセットにはData Lake APIを使用します。

LogTotalでアップロード、サニタイズ、およびレビュー

1. アップロード。 開く logtotal.com と.jsonlファイルをドロップします。 
2. サニタイズ。 
3. レビュー。 

何かがうまくいかないとき