フォローする APIトークンを生成し、Securonix REST API (/ws/spotter/index/search) を通してSpotterクエリを実行し、イベントをJSONとして保存します。ソースが生のテキストを送信した場合、通常、元の行は生のイベントフィールドに保持されます。UI内のSpotterも結果をエクスポートできます。
SecuronixはUEBAとSIEMのために大量の活動データを取り込み、調査用のスライスをエクスポートするための豊富なソースとなります。Prime CoreはSecuronix向けに620のMITRE ATT&CK技術にマッピングされた14,283の検出ルールを持っています。以下に、データを取り出し、消毒し、LogTotalで無料で調査する方法を示します。
始める前に
APIアクセス。 APIを使用することが許可されたSecuronixユーザーが必要です。トークンはそのユーザーの資格情報で生成され、あなたが選んだ有効期間を持ちます。
あなたのテナントURL。 クラウドテナントは通常、https://<tenant>.securonix.net/Snyprのように見えます。
保存期間。 ホットデータはSpotterで直接検索可能です。古いデータは、検索に追加の手順が必要な長期ストレージに保存される可能性があります。
REST APIでエクスポート
BASE="https://<tenant>.securonix.net/Snypr"
# 1. トークン、1日間有効
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1"
"$BASE/ws/token/generate")
# 2. タイムウィンドウ用のSpotterクエリ
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search"
--data-urlencode 'query=index=activity AND devicehostname="web-03"'
--data-urlencode 'eventtime_from=10/19/2026 00:00:00'
--data-urlencode 'eventtime_to=10/20/2026 00:00:00'
> snx_web03_1019.json
# 3. 1行ごとのイベント
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl
LogTotalでのアップロード、消毒、レビュー
- アップロード。 開く logtotal.com ファイルをドロップします。
- 消毒。 続行する前に見直してください。
- レビュー。
問題が発生した場合
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| トークンリクエストの失敗 | 資格情報が間違っているか、ユーザーがAPIを使用できない | ユーザーのAPI権限を確認 |
| 結果が空 | クエリの構文、または日付形式が一致しない | Spotterでクエリをテストし、形式を確認 |
| 結果の一部のみ | ページングが続かない | クエリIDで次のページをリクエスト |
| 古いイベントが欠落している | データがホットストレージから移動した | 長期ストレージオプションを確認 |
FAQ
違反や脅威のエクスポートも可能ですか？
それらは検出であり、独自のAPI呼び出しがあります。LogTotalでは、それらの背後にある活動イベントをエクスポートします。
Securonixのオンプレミス版は異なりますか？
APIは概して同じですが、ベースURLはあなた自身のサーバーです。バージョンのAPIガイドを確認してください。
