Як експортувати логи з Exabeam

На платформі New-Scale Security Operations отримайте токен доступу за допомогою вашого API ключа, потім викличте API пошуку подій з фільтром, часовим діапазоном та полями, які вам потрібні. Ви отримаєте назад JSON, один рядок на подію. Додаток Search також може експортувати результати з інтерфейсу користувача. Старіші локальні розгортання Exabeam Data Lake працюють по-іншому; дивіться FAQ.

Exabeam збирає журнали для аналізу поведінки та SIEM, і з моменту злиття з LogRhythm вона охоплює велику частку ринку. Prime Core має 15,635 правил виявлення для Exabeam, прив’язаних до 542 технік MITRE ATT&CK. Нижче описано, як отримати події, очистити їх і дослідити безкоштовно в LogTotal.

Почніть безкоштовно

Перш ніж почати

API ключ. Створіть ідентифікатор клієнта і секретну фразу в налаштуваннях API ключів платформи з дозволом на пошук подій.

Ваш регіональний API хост. Він слідує шаблону api.<region>.exabeam.cloud, наприклад, api.us-west.exabeam.cloud або api.us-east.exabeam.cloud.

Синтаксис запиту. Пошук подій використовує фільтри в стилі Lucene, ті ж, які ви вводите в додатку Search. Спершу перевірте там.

Експорт з API пошуку

BASE="https://api.us-west.exabeam.cloud"

# 1. Токен доступу
TOKEN=$(curl -sS -X POST "$BASE/auth/v1/token" -H 'Content-Type: application/json' 
  -d "{"client_id": "$EXA_ID", "client_secret": "$EXA_SECRET", "grant_type": "client_credentials"}" 
  | jq -r '.access_token')

# 2. пошук подій
curl -sS -X POST "$BASE/search/v2/events" 
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "filter": "host:"web-03"",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z",
    "fields": ["*"],
    "limit": 10000
  }' > exabeam_web03_1019.json

jq -c '.rows[]' exabeam_web03_1019.json > exabeam_web03_1019.jsonl

Завантажте, очистіть і перегляньте у LogTotal

1. Завантажте. Відкрийте logtotal.com і перенесіть у .jsonl файл.
2. Очистьте.
3. Перевірте. 

Коли щось йде не так