SentinelOne Singularity 데이터 레이크 로그 내보내기 방법

지역 데이터 레이크 URL의 /api/powerQuery에서 Singularity Data Lake API에 PowerQuery를 전송하세요. 예를 들어, https://xdr.us1.sentinelone.net가 있습니다. 응답은 표(열 및 행)로 반환되며, 한 줄의 jq가 각 이벤트에 대해 하나의 JSON 객체로 변환합니다. 또는 Singularity 콘솔의 이벤트 검색을 통해 이벤트를 직접 내보낼 수 있습니다. CSV는 일반적으로 사용 가능한 내보내기 형식이지만, 인터페이스에 따라 JSON 또는 평문 텍스트 다운로드도 가능할 수 있습니다.

Singularity Data Lake는 SentinelOne의 엔드포인트 원격 측정 데이터와 전송된 타사 로그를 함께 보유하고 있으며, 이는 SentinelOne 고객이 갖고 있는 가장 넓은 범위의 보기일 수 있습니다. Prime Core는 644 MITRE ATT&CK 기술에 매핑된 14,699개의 SentinelOne 탐지 규칙을 보유하고 있습니다. 아래는 데이터를 내보내고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

적절한 권한을 가진 서비스 사용자. API 액세스를 위해 서비스 사용자를 생성하고, 그 역할에 데이터 레이크 쿼리 권한(SDL Query API와 SDL Search)을 부여하세요. 실제로 데이터를 보유하고 있는 계정 또는 사이트 수준에서 생성하세요. 잘못된 범위에서 생성된 키는 인증은 잘 되지만 아무것도 반환하지 않습니다.

귀하의 지역 URL. 미국은 일반적으로 https://xdr.us1.sentinelone.net를 사용합니다. 다른 지역은 자체 호스트명을 사용합니다. 콘솔의 도움말 섹션에서 확인하세요.

필드를 알아보세요. 엔드포인트 원격 측정은 endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline과 같은 이름을 사용합니다. 타사 로그는 message 필드에 원래 텍스트를 유지합니다. 먼저 이벤트 검색에서 쿼리를 시도하세요.

PowerQuery API로 내보내기

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# 표 -> 행당 하나의 JSON 객체
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

PowerQuery 결과는 제한이 있으므로 긴 윈도우를 여러 요청으로 나누세요.

열 단계는 어떤 것을 얻는지 결정합니다. 필요 없는 필드는 생략하고, 명령줄과 프로세스 이름은 유지하세요. 대부분의 탐지가 그곳에서 이루어집니다.

Singularity Data Lake UI를 통해 로그 내보내기

빠른 조사나 작은 로그 샘플의 경우, API를 사용하지 않고 SentinelOne Singularity 콘솔에서 이벤트를 직접 내보낼 수 있습니다.

1. 이벤트 검색 열기. SentinelOne Singularity 콘솔에 로그인하고 이벤트 검색으로 이동합니다. 로그가 포함된 계정이나 사이트를 선택하세요.
2. 시간 범위 설정. 조사하고 싶은 기간을 선택하고 올바른 데이터 소스가 포함되었는지 확인하세요.
3. 쿼리 실행. 활성화 PowerQuery 를 입력하고 검색 필터를 입력하세요. 예를 들어 endpoint.name = “WS-042”. 검색을 실행하세요.
4. 결과 검토. 일치하는 이벤트를 확인하고 필요한 필드를 선택하세요. 예를 들어 timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline을 선택하세요. 개별 로그 이벤트가 필요하다면 집계 함수를 피하세요.
5. 결과 내보내기. 결과 영역에서 내보내기 or 다운로드 옵션을 사용하세요. 콘솔 버전 및 검색 모드에 따라 CSV, JSON 및 평문 텍스트 중 선택할 수 있습니다.
6. 파일 저장. 결과를 컴퓨터에 다운로드하세요. 특히 구조화된 엔드포인트 텔레메트리를 위해 JSON을 선호하세요. 타사 로그의 경우 원래 로그 텍스트를 포함한 메시지 필드를 보존하세요.

제약 사항. 내보내기 형식과 결과 제한은 콘솔 버전 및 검색 모드에 따라 다릅니다. 대규모 검색의 경우 UI 내보내기 제한을 초과할 수도 있습니다. 시간 범위를 좁히거나 데이터 레이크 API를 사용하여 더 큰 데이터 세트를 처리하세요.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 에 .jsonl 파일을 드롭하세요.
2. 정리. 
3. 검토. 

문제가 발생했을 때