Come Esportare i Log di Securonix

Genera un token API, esegui la tua query Spotter tramite l’API REST di Securonix (/ws/spotter/index/search) e salva gli eventi come JSON. Quando la fonte ha inviato testo grezzo, la riga originale viene solitamente mantenuta nel campo evento grezzo. Spotter nell’interfaccia utente può esportare anche i risultati. 

Securonix raccoglie grandi volumi di dati di attività per UEBA e SIEM, il che lo rende un luogo ricco da cui esportare una porzione di indagine. Prime Core ha 14.283 regole di rilevamento per Securonix, mappate su 620 tecniche MITRE ATT&CK. Di seguito è illustrato come ottenere i dati, sanificarli e indagarli gratuitamente in LogTotal.

Inizia gratuitamente

Prima di iniziare

Accesso API. Hai bisogno di un utente Securonix autorizzato a utilizzare l’API. I token vengono generati con le credenziali di quell’utente e hanno un periodo di validità che scegli tu.

Il tuo URL del tenant. I tenant cloud di solito sembrano https://<tenant>.securonix.net/Snypr.

Conservazione. I dati recenti sono ricercabili direttamente in Spotter. I dati più vecchi potrebbero trovarsi in un archivio a lungo termine che richiede passaggi extra per essere cercato. 

Esportazione con l’API REST

BASE="https://<tenant>.securonix.net/Snypr"

# 1. token, valido per un giorno
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1" 
 "$BASE/ws/token/generate")

# 2. Query Spotter per una finestra temporale
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search" 
 --data-urlencode 'query=index=activity AND devicehostname="web-03"' 
 --data-urlencode 'eventtime_from=10/19/2026 00:00:00' 
 --data-urlencode 'eventtime_to=10/20/2026 00:00:00' 
 > snx_web03_1019.json

# 3. un evento per linea
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl

Carica, sanifica e rivedi in LogTotal

1. Carica. Apri logtotal.com e carica il file.
2. Sanifica. Controlla prima di procedere.
3. Rivedi. 

Quando le cose vanno male