Comment Exporter les Journaux Exabeam

Sur la nouvelle plateforme d’opérations de sécurité à échelle, obtenez un jeton d’accès avec votre clé API, puis appelez l’API de recherche d’événements avec un filtre, une plage de temps et les champs que vous souhaitez. Vous obtenez du JSON en retour, une ligne par événement. L’application Search peut également exporter des résultats depuis l’interface utilisateur. Les déploiements Exabeam Data Lake plus anciens sur site fonctionnent différemment ; voir la FAQ.

Exabeam collecte des journaux pour l’analyse comportementale et le SIEM, et depuis sa fusion avec LogRhythm, il couvre une grande part du marché. Prime Core dispose de 15 635 règles de détection pour Exabeam, mappées sur 542 techniques MITRE ATT&CK. Voici comment obtenir des événements, les assainir et les investiguer gratuitement dans LogTotal.

Commencez gratuitement

Avant de commencer

Une clé API. Créez un ID client et un secret dans les paramètres de clé API de la plateforme, avec la permission de rechercher des événements.

Votre hôte API régional. Il suit le modèle api.<region>.exabeam.cloud, par exemple api.us-west.exabeam.cloud ou api.us-east.exabeam.cloud.

Syntaxe de requête. La recherche d’événements utilise des filtres de style Lucene, les mêmes que vous tapez dans l’application Search. Testez-les d’abord là-bas.

Exporter avec l’API de recherche

BASE="https://api.us-west.exabeam.cloud"

# 1. jeton d'accès
TOKEN=$(curl -sS -X POST "$BASE/auth/v1/token" -H 'Content-Type: application/json' 
 -d "{"client_id": "$EXA_ID", "client_secret": "$EXA_SECRET", "grant_type": "client_credentials"}" 
 | jq -r '.access_token')

# 2. recherche d'événements
curl -sS -X POST "$BASE/search/v2/events" 
 -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' 
 -d '{
   "filter": "host:"web-03"",
   "startTime": "2026-10-19T00:00:00Z",
   "endTime": "2026-10-20T00:00:00Z",
   "fields": ["*"],
   "limit": 10000
 }' > exabeam_web03_1019.json

jq -c '.rows[]' exabeam_web03_1019.json > exabeam_web03_1019.jsonl

Téléverser, assainir et examiner dans LogTotal

1. Téléverser. Ouvrir logtotal.com et déposer le fichier .jsonl.
2. Assainir.
3. Examinez. 

Lorsqu’il y a un problème