Cómo Exportar Registros Devo

SOC Prime Team

Utiliza la API de Consultas de Devo: envía una consulta LINQ, un rango de tiempo y un modo de salida al endpoint /search/query de tu región, autenticado con un token de API o clave y secreto. Solicita un modo JSON y obtendrás eventos estructurados; selecciona el campo de mensaje de las tablas sin procesar para recuperar las líneas originales. El SDK oficial de Python (devo-sdk) envuelve la misma API si prefieres código en lugar de curl.

Devo almacena grandes volúmenes de datos de seguridad y operativos en la nube, a menudo con retención prolongada. Prime Core tiene 23,653 reglas de detección para Devo, mapeadas a 664 técnicas de MITRE ATT&CK. A continuación, cómo extraer los datos, sanearlos e investigarlos gratuitamente en LogTotal.

Comienza Gratis

Antes de empezar

Credenciales. Crea un token de API, o una clave de API y secreto, en la configuración de credenciales de tu dominio Devo, con acceso a las tablas que necesitas.

El endpoint de tu región. El host de la API de Consulta depende de dónde se encuentre tu dominio, por ejemplo apiv2-us.devo.com o apiv2-eu.devo.com.

Nombres de tablas. Devo organiza los datos en tablas como box.unix o firewall.fortinet.traffic. Encuentra las tuyas en el área de Búsqueda de Datos y construye la consulta allí primero.

Exportar con la API de Consultas

curl -sS -X POST "https://apiv2-eu.devo.com/search/query" 
  -H "Authorization: Bearer $DEVO_TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "query": "from box.unix where hostname = "web-03" select eventdate, hostname, message",
    "from": 1792368000,
    "to": 1792454400,
    "mode": {"type": "json/simple"}
  }' > devo_web03_1019.json

Los valores ‘from’ y ‘to’ arriba son segundos de época para 2026-10-19 00:00 UTC a 2026-10-20 00:00 UTC. Si la respuesta es un objeto JSON por línea, súbelo tal cual. Si es un array, aplánalo con jq -c ‘.[]’. Para líneas sin procesar, extrae el mensaje.

Alternativa en Python. pip install devo-sdk, luego usa el cliente API del paquete devo.api con tu token, la misma consulta y fechas. Gestiona la firma de solicitudes para la autenticación con clave y secreto.

Subir, sanear y revisar en LogTotal

Subir. Abrir logtotal.com y soltar el archivo.
Sanear.
Revisar.

Cuando algo sale mal

Síntoma	Causa probable	Fix
401	Token incorrecto, o un problema de firma de clave/secreto	Verifica las credenciales; prueba el SDK, que firma las solicitudes por ti
Errores de conexión	Endpoint regional incorrecto	Usa la región de tu dominio
Resultados vacíos	Nombre de tabla incorrecto, o milisegundos en lugar de segundos	Verifica la tabla en Búsqueda de Datos; verifica las unidades de tiempo
La salida es una tabla que no esperabas	El modo no coincide con lo que necesitas	Elige un modo JSON

FAQ

¿Sin procesar o analizado?

Para fuentes con estilo syslog, selecciona mensaje y sube las líneas sin procesar. Para fuentes JSON, sube los eventos analizados.

¿Puedo programar exportaciones?

Sí, la misma API funciona en trabajos programados. Para el envío continuo, Devo también tiene características de exportación de datos.