So exportieren Sie Logs aus dem SentinelOne Singularity Data Lake

Senden Sie eine PowerQuery an die Singularity Data Lake API unter /api/powerQuery auf Ihrer regionalen Data Lake URL, zum Beispiel https://xdr.us1.sentinelone.net. Die Antwort kommt als Tabelle zurück (Spalten plus Zeilen), und eine jq-Zeile wandelt sie in ein JSON-Objekt pro Ereignis um. Alternativ können Sie Ereignisse direkt über die Ereignissuche aus der Singularity-Konsole exportieren. CSV ist ein häufig verfügbares Exportformat, während je nach Schnittstelle möglicherweise JSON oder Klartext-Downloads verfügbar sind.

Singularity Data Lake enthält die Endpoint-Telemetrie von SentinelOne zusammen mit allen Drittanbieterprotokollen, die Sie senden, sodass es oft die umfassendste Ansicht ist, die ein SentinelOne-Kunde hat. Prime Core verfügt über 14.699 Erkennungsregeln für SentinelOne, die 644 MITRE ATT&CK-Techniken zugeordnet sind. Im Folgenden wird beschrieben, wie Sie Daten exportieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie starten

Ein Dienstbenutzer mit den richtigen Berechtigungen. Erstellen Sie einen Dienstbenutzer für den API-Zugriff und geben Sie dessen Rolle die Berechtigungen für Data Lake-Abfragen (SDL Query API und SDL Search). Erstellen Sie ihn auf der Konto- oder Standortebene, die die Daten tatsächlich hält. Ein Schlüssel, der im falschen Bereich erstellt wurde, authentifiziert zwar korrekt, gibt jedoch nichts zurück.

Ihre regionale URL. Der US-Standard ist https://xdr.us1.sentinelone.net; andere Regionen verwenden ihre eigenen Hostnamen. Der Hilfe-Bereich der Konsole listet Ihre auf.

Kennen Sie die Felder. Endpoint-Telemetrie verwendet Namen wie endpoint.name, event.type, src.process.cmdline und tgt.process.cmdline. Drittanbieterprotokolle behalten ihren ursprünglichen Text in einem Nachrichtenfeld. Versuchen Sie zuerst die Abfrage in der Ereignissuche.

Export mit der PowerQuery API

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# Tabelle -> ein JSON-Objekt pro Zeile
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

PowerQuery-Ergebnisse sind begrenzt, daher lange Fenster in mehrere Anfragen aufteilen.

Die Spaltenphase entscheidet, was Sie erhalten. Lassen Sie Felder weg, die Sie nicht benötigen, aber behalten Sie die Befehlszeilen und Prozessnamen bei: dort erfolgt die meiste Erkennung.

Protokolle über die Singularity Data Lake UI exportieren

Für schnelle Untersuchungen oder kleinere Proben von Protokollen können Sie Ereignisse direkt aus der SentinelOne Singularity-Konsole exportieren, ohne die API zu nutzen.

1. Ereignissuche öffnen. Melden Sie sich bei der SentinelOne Singularity-Konsole an und navigieren Sie zu Ereignissuche. Wählen Sie das Konto oder die Seite, die Ihre Protokolle enthält.
2. Den Zeitraum festlegen. Wählen Sie den Zeitraum, den Sie untersuchen möchten, und stellen Sie sicher, dass die richtigen Datenquellen enthalten sind.
3. Führen Sie eine Abfrage aus. Aktivieren Sie PowerQuery und geben Sie einen Suchfilter ein, z.B. endpoint.name = „WS-042“. Führen Sie die Suche aus.
4. Ergebnisse überprüfen. Überprüfen Sie die übereinstimmenden Ereignisse und wählen Sie die Felder aus, die Sie benötigen, wie z.B. timestamp, endpoint.name, event.type, src.process.cmdline und tgt.process.cmdline. Vermeiden Sie Aggregationsfunktionen, wenn Sie einzelne Log-Ereignisse benötigen.
5. Die Ergebnisse exportieren. Verwenden Sie die Exportieren or Herunterladen Option im Ergebnisbereich. Je nach Konsolenversion und Suchmodus können Sie zwischen CSV, JSON und Klartext wählen.
6. Datei speichern. Laden Sie die Ergebnisse auf Ihren Computer herunter. Bevorzugen Sie JSON, wenn verfügbar, insbesondere für strukturierte Endpoint-Telemetrie. Für Drittanbieterprotokolle bewahren Sie das Nachrichtenfeld mit dem ursprünglichen Protokolltext auf.

Einschränkungen. Exportformate und Ergebnisgrenzen variieren je nach Konsolenversion und Suchmodus. Große Suchen können auch das UI-Exportlimit überschreiten; begrenzen Sie den Zeitraum oder verwenden Sie die Data Lake API für größere Datensätze.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen Sie logtotal.com und laden Sie die .jsonl-Datei hoch.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schiefgeht