Як експортувати логи Devo

Використовуйте Devo Query API: надішліть запит LINQ, часовий діапазон і режим виводу до кінцевої точки /search/query вашого регіону, автентифіковану за допомогою токена API або ключа та секрету. Виберіть режим JSON, і ви отримаєте структуровані події; виберіть поле повідомлень зі сирих таблиць, щоб повернути оригінальні рядки. Офіційний Python SDK (devo-sdk) обгортає той же API, якщо ви віддаєте перевагу код над curl.

Devo зберігає великі обсяги даних з безпеки та експлуатації в хмарі, часто з тривалим зберіганням. Prime Core має 23,653 правил виявлення для Devo, що мапуються на 664 технічки MITRE ATT&CK. Нижче описано, як отримати дані, очистити їх і безкоштовно досліджувати у LogTotal.

Почати безкоштовно

Перш ніж почати

Облікові дані. Створіть токен API або ключ та секрет API у налаштуваннях облікових даних вашого домену Devo з доступом до потрібних таблиць.

Кінцева точка вашого регіону. Хост Query API залежить від того, де розташований ваш домен, наприклад apiv2-us.devo.com або apiv2-eu.devo.com.

Назви таблиць. Devo організовує дані в таблицях, таких як box.unix або firewall.fortinet.traffic. Знайдіть ваші в області Пошук даних і спочатку побудуйте запит там.

Експорт з Query API

curl -sS -X POST "https://apiv2-eu.devo.com/search/query" 
  -H "Authorization: Bearer $DEVO_TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "query": "from box.unix where hostname = "web-03" select eventdate, hostname, message",
    "from": 1792368000,
    "to": 1792454400,
    "mode": {"type": "json/simple"}
  }' > devo_web03_1019.json

Значення from та to вище — це секунди епохи з 2026-10-19 00:00 UTC до 2026-10-20 00:00 UTC. Якщо відповідь є одним об’єктом JSON на рядок, завантажте його як є. Якщо це масив, сплющіть його за допомогою jq -c ‘.[]’. Для сирих рядків виділіть повідомлення.

Альтернатива на Python. Встановіть pip devo-sdk, потім використовуйте клієнт API з пакета devo.api з вашим токеном, тим самим запитом та датами. Він обробляє підписання запиту для автентифікації ключа та секрету.

Завантажити, очистити та переглянути у LogTotal

1. Завантажити. Відкрити logtotal.com та перетягніть файл.
2. Очистити.
3. Переглянути.

Коли йде не так