Як експортувати журнали з SentinelOne Singularity Data Lake

Надішліть PowerQuery до API Singularity Data Lake за адресою /api/powerQuery на вашому регіональному URL Data Lake, наприклад, https://xdr.us1.sentinelone.net. Відповідь повертається у вигляді таблиці (стовпці і рядки), і один рядок jq перетворює її в один JSON-об’єкт на кожну подію. Або, експортуйте події безпосередньо з консолі Singularity через Пошук Подій. CSV є поширеним форматом експорту, тоді як завантаження JSON або звичайного тексту можуть бути доступні залежно від інтерфейсу.

Singularity Data Lake зберігає телеметрію кінцевих точок SentinelOne разом з будь-якими сторонніми журналами, які ви надсилаєте, таким чином це найчастіше найширший вигляд, який має клієнт SentinelOne. Prime Core має 14,699 правила виявлення для SentinelOne, зіставлені з 644 техніками MITRE ATT&CK. Нижче показано, як отримати дані, очистити їх і дослідити безкоштовно в LogTotal.

Почніть безкоштовно

Перш ніж почати

Сервісний користувач з відповідними дозволами. Створіть сервісного користувача для доступу до API та надайте його ролі дозволи на запити Data Lake (SDL Query API і SDL Search). Створіть його на рівні облікового запису чи сайту, що фактично містить дані. Ключ, створений за неправильним обсягом, автентифікується належним чином, але не повертає нічого.

Ваш регіональний URL. США зазвичай https://xdr.us1.sentinelone.net; інші регіони використовують власні імена хостів. Розділ допомоги консолі містить список ваших.

Знайте поля. Телеметрія кінцевих точок використовує такі назви, як endpoint.name, event.type, src.process.cmdline і tgt.process.cmdline. Сторонні журнали зберігають свій оригінальний текст у полі повідомлення. Спробуйте запит у Пошуку Подій спочатку.

Експорт за допомогою API PowerQuery

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# таблиця -> один JSON об'єкт на рядок
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

Результати PowerQuery обмежені, тому розділіть довгі вікна на кілька запитів.

Етап стовпців визначає, що ви отримуєте. Не вказуйте поля, які вам не потрібні, але зберігайте командні лінії та імена процесів: саме там більшість виявлень шукають.

Експорт журналів через інтерфейс Singularity Data Lake

Для швидких розслідувань або менших вибіркових журналів ви можете експортувати події безпосередньо з консолі SentinelOne Singularity, не використовуючи API.

1. Відкрийте Пошук Подій. Увійдіть в консоль SentinelOne Singularity та перейдіть до Пошук Подій. Виберіть обліковий запис або сайт, що містять ваші журнали.
2. Встановіть діапазон часу. Виберіть період, який ви хочете дослідити, і переконайтеся, що вказані правильні джерела даних.
3. Запустіть запит. Увімкніть PowerQuery та введіть фільтр пошуку, наприклад endpoint.name = “WS-042”. Запустіть пошук.
4. Перегляньте результати. Перевірте співпадаючі події і виберіть потрібні поля, такі як timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline. Уникайте агрегатних функцій, якщо вам потрібні окремі журнали.
5. Експортуйте результати. Використовуйте Експорт or Завантажити опцію в області результатів. Залежно від версії консолі та режиму пошуку, ви можете мати можливість вибрати між CSV, JSON і звичайним текстом.
6. Збережіть файл. Завантажте результати на свій комп’ютер. Вибирайте JSON, коли це можливо, особливо для структурованої телеметрії кінцевої точки. Для сторонніх журналів зберігайте поле повідомлення, що містить оригінальний текст журналу.

Обмеження. Формати експорту і обмеження результатів відрізняються залежно від версії консолі і режиму пошуку. Великі пошуки також можуть перевищити межу експорту інтерфейсу користувача; звузьте діапазон часу або використовуйте API Data Lake для більших наборів даних.

Завантажте, очистьте та перегляньте в LogTotal

1. Завантажте. Відкрийте logtotal.com і перетягніть файл .jsonl.
2. Очистьте. 
3. Перегляньте. 

Коли все йде не так