Як експортувати журнали Securonix

Згенеруйте токен API, запустіть запит Spotter через REST API Securonix (/ws/spotter/index/search) і збережіть події у вигляді JSON. Коли джерело надсилало необроблений текст, оригінальний рядок зазвичай зберігається в полі необроблених подій. Spotter в інтерфейсі користувача також може експортувати результати. 

Securonix збирає великі обсяги даних активності для UEBA та SIEM, що робить його багатим джерелом для експорту урізка розслідування. Prime Core має 14 283 правила виявлення для Securonix, які відображені до 620 технік MITRE ATT&CK. Нижче описано, як витягти дані, очистити їх і безкоштовно розслідувати в LogTotal.

Почніть безкоштовно

Перед початком

Доступ до API. Вам потрібен користувач Securonix, який має право користуватися API. Токени генеруються з обліковими даними цього користувача і мають період дії, який ви вибираєте.

URL вашого орендаря. Хмарні орендарі зазвичай виглядають як https://.securonix.net/Snypr.

Збереження. Гарячі дані можна шукати безпосередньо в Spotter. Старіші дані можуть зберігатися в довгостроковому сховищі, для якого потрібні додаткові кроки для пошуку. 

Експорт через REST API

BASE="https://.securonix.net/Snypr"

# 1. токен, дійсний протягом одного дня
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1" 
 "$BASE/ws/token/generate")

# 2. Запит Spotter для тимчасового вікна
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search" 
 --data-urlencode 'query=index=activity AND devicehostname="web-03"' 
 --data-urlencode 'eventtime_from=10/19/2026 00:00:00' 
 --data-urlencode 'eventtime_to=10/20/2026 00:00:00' 
 > snx_web03_1019.json

# 3. одна подія в рядок
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl

Завантажте, очистіть та перевірте у LogTotal

1. Завантажити. Відкрити logtotal.com і перетягнути файл.
2. Очистити. Подивіться перед тим, як продовжувати.
3. Перевірка. 

Коли щось йде не так