Wie man Devo Logs exportiert

Verwenden Sie die Devo Query API: Senden Sie eine LINQ-Abfrage, einen Zeitrahmen und einen Ausgabemodus an den /search/query-Endpunkt Ihrer Region, authentifiziert mit einem API-Token oder Schlüssel und Geheimnis. Fordern Sie einen JSON-Modus an und Sie erhalten strukturierte Ereignisse; wählen Sie das Nachrichtenfeld aus rohen Tabellen, um die ursprünglichen Zeilen zurückzubekommen. Das offizielle Python SDK (devo-sdk) umschließt dieselbe API, wenn Sie Code gegenüber Curl bevorzugen.

Devo speichert große Mengen an Sicherheits- und Betriebsdaten in der Cloud, oft mit langer Aufbewahrung. Prime Core hat 23.653 Erkennungsregeln für Devo, abgebildet auf 664 MITRE ATT&CK-Techniken. Unten erfahren Sie, wie Sie Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie beginnen

Anmeldedaten. Erstellen Sie ein API-Token oder einen API-Schlüssel und ein Geheimnis in den Einstellungseinstellungen Ihres Devo-Domänen, mit Zugriff auf die benötigten Tabellen.

Der Endpunkt Ihrer Region. Der Query API-Host hängt davon ab, wo Ihre Domain liegt, zum Beispiel apiv2-us.devo.com oder apiv2-eu.devo.com.

Tabellennamen. Devo organisiert Daten in Tabellen wie box.unix oder firewall.fortinet.traffic. Finden Sie Ihre im Bereich Datensuche und erstellen Sie dort zuerst die Abfrage.

Export mit der Query API

curl -sS -X POST "https://apiv2-eu.devo.com/search/query" 
  -H "Authorization: Bearer $DEVO_TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "query": "from box.unix where hostname = "web-03" select eventdate, hostname, message",
    "from": 1792368000,
    "to": 1792454400,
    "mode": {"type": "json/simple"}
  }' > devo_web03_1019.json

Die From- und To-Werte oben sind die Epochensekunden für den Zeitraum vom 19. Oktober 2026 um 00:00 Uhr UTC bis 20. Oktober 2026 um 00:00 Uhr UTC. Wenn die Antwort ein JSON-Objekt pro Zeile ist, laden Sie es unverändert hoch. Wenn es ein Array ist, flatten Sie es mit jq -c ‚.[]‘. Für rohe Zeilen extrahieren Sie die Nachricht.

Python-Alternative. pip install devo-sdk, verwenden Sie dann den API-Client aus dem devo.api-Paket mit Ihrem Token, derselben Abfrage und den gleichen Daten. Es kümmert sich um die Signierung der Anfrage für Schlüssel-und-Geheimnis-Authentifizierung.

Hochladen, bereinigen und überprüfen in LogTotal

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab.
2. Bereinigen.
3. Überprüfen.

Wenn etwas schiefgeht