Suivre Générez un jeton d’API, exécutez votre requête Spotter via l’API REST Securonix (/ws/spotter/index/search), et enregistrez les événements en JSON. Lorsque la source envoyait du texte brut, la ligne originale est généralement conservée dans le champ d’événement brut. Spotter dans l’UI peut également exporter les résultats.
Securonix collecte de grands volumes de données d’activité pour l’UEBA et le SIEM, ce qui en fait un endroit riche pour exporter un segment d’investigation. Prime Core dispose de 14 283 règles de détection pour Securonix, mappées à 620 techniques MITRE ATT&CK. Voici comment extraire les données, les assainir et les étudier gratuitement dans LogTotal.
Avant de commencer
Accès à l’API. Vous avez besoin d’un utilisateur Securonix autorisé à utiliser l’API. Les jetons sont générés avec les identifiants de cet utilisateur et ont une période de validité que vous choisissez.
L’URL de votre locataire. Les locataires cloud ressemblent généralement à https://<tenant>.securonix.net/Snypr.
Rétention. Les données chaudes sont directement accessibles dans Spotter. Les données plus anciennes peuvent être dans un stockage à long terme nécessitant des étapes supplémentaires pour être recherchées.
Exporter avec l’API REST
BASE="https://<tenant>.securonix.net/Snypr"
# 1. jeton, valable pour un jour
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1"
"$BASE/ws/token/generate")
# 2. requête Spotter pour une fenêtre temporelle
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search"
--data-urlencode 'query=index=activity AND devicehostname="web-03"'
--data-urlencode 'eventtime_from=10/19/2026 00:00:00'
--data-urlencode 'eventtime_to=10/20/2026 00:00:00'
> snx_web03_1019.json
# 3. un événement par ligne
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl
Téléverser, assainir et examiner dans LogTotal
- Téléverser. Ouvrir logtotal.com et déposer le fichier.
- Assainir. Vérifiez-le avant de continuer.
- Examiner.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| La demande de jeton échoue | Mauvais identifiants ou l’utilisateur ne peut pas utiliser l’API | Vérifiez la permission API de l’utilisateur |
| Résultats vides | Syntaxe de requête ou le format de date ne correspond pas | Testez la requête dans Spotter ; vérifiez le format |
| Seulement une partie des résultats | Pagination non suivie | Demandez les pages suivantes avec l’ID de requête |
| Événements anciens manquants | Les données ont été déplacées hors du stockage à chaud | Vérifiez les options de stockage à long terme |
FAQ
Puis-je exporter des violations et des menaces à la place ?
Ce sont des détections et elles ont leurs propres appels API. Pour LogTotal, exportez les événements d’activité qui les sous-tendent.
Securonix sur site est-il différent ?
L’API est globalement la même ; l’URL de base est votre propre serveur. Consultez le guide API de votre version.
