Cómo Exportar Registros de Securonix

Genera un token de API, ejecuta tu consulta Spotter a través del REST API de Securonix (/ws/spotter/index/search), y guarda los eventos como JSON. Cuando la fuente enviaba texto bruto, la línea original generalmente se mantiene en el campo de evento bruto. Spotter en la interfaz de usuario también puede exportar resultados. 

Securonix recopila grandes volúmenes de datos de actividad para UEBA y SIEM, lo que lo convierte en un lugar rico desde el que exportar un fragmento de investigación. Prime Core tiene 14,283 reglas de detección para Securonix, mapeadas a 620 técnicas de MITRE ATT&CK. A continuación, se muestra cómo extraer datos, sanitizarlos e investigarlos gratis en LogTotal.

Empieza Gratis

Antes de empezar

Acceso a la API. Necesitas un usuario de Securonix que tenga permiso para usar la API. Los tokens se generan con las credenciales de ese usuario y tienen un período de validez que eliges.

La URL de tu inquilino. Los inquilinos en la nube suelen parecerse a https://<tenant>.securonix.net/Snypr.

Retención. Los datos recientes son buscables directamente en Spotter. Los datos más antiguos pueden estar en almacenamiento a largo plazo que requiere pasos adicionales para buscar. 

Exportar con el REST API

BASE="https://<tenant>.securonix.net/Snypr"

# 1. token, válido por un día
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1" 
  "$BASE/ws/token/generate")

# 2. Consulta Spotter para un intervalo de tiempo
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search" 
  --data-urlencode 'query=index=activity AND devicehostname="web-03"' 
  --data-urlencode 'eventtime_from=10/19/2026 00:00:00' 
  --data-urlencode 'eventtime_to=10/20/2026 00:00:00' 
  > snx_web03_1019.json

# 3. un evento por línea
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl

Subir, sanitizar y revisar en LogTotal

1. Subir. Abrir logtotal.com y soltar el archivo.
2. Sanitizar. Revísalo antes de continuar.
3. Revisar. 

Cuando algo va mal