Стежити У NetWitness Investigate запустіть ваш запит у перегляді Подій, виберіть події (або всі), й завантажте журнали. Оберіть Текст щоб отримати рядки необроблених журналів, або JSON для структурованих подій. Великі завантаження виконуються як завдання; ви отримуєте файл із лотка Завдань, коли він буде готовий. За замовчуванням, один експорт може включати до 100,000 сесій.
NetWitness, раніше RSA NetWitness, зберігає журнали на Лог-перетворювачах і робить їх доступними для пошуку через Концентратори та Брокери. Prime Core містить 18,461 правил виявлення для NetWitness, відображених на 631 техніку MITRE ATT&CK. Нижче наведено, як отримати журнали, очистити їх і безкоштовно дослідити в LogTotal.
Перед початком
Доступ до Investigate. Вам потрібна роль, яка може досліджувати службу (Брокер або Концентратор), яка зберігає журнали.
Встановіть формат експорту один раз. In Профіль → Налаштування → Дослідження, Параметр експорту журналу визначає формат за замовчуванням для завантажень: Текст, XML, CSV або JSON. Оберіть Текст для необроблених журналів. Якщо залишити порожнім, NetWitness запитуватиме кожного разу.
Збереження. Наскільки далеко назад ви можете повернутися, залежить від зберігання лог-перетворювача. Старіші журнали можуть існувати лише у архіваторі, якщо у вас є один.
Експорт із Investigate
- Відкрити Investigate → Події, виберіть службу і встановіть діапазон часу.
- Запитуйте за допомогою ключів метаданих (приклад нижче).
- Запустіть запит й перевірте кількість.
- Виберіть події, які хочете, або жодні, щоб взяти всі, і оберіть параметр завантаження для журналів (Текст або JSON).
- Відкрити лоток Завдань (значок секундоміра) і завантажте файл, коли завдання буде завершено.
Запит для одного хоста Linux виглядає так. Для журналів Windows загальний розбірник журналів — це device.type = ‘winevent_nic’.
device.type = 'rhlinux' && alias.host = 'web-03'
Для однієї події вкладка Текст у подробицях події має свої власні параметри завантаження для необробленого журналу.
The Макс. експорт сесій налаштування обмежує, скільки сесій може включати один експорт (за замовчуванням 100,000). Для більших вікендів розділяйте за часом.
Варіант 2: REST API на службах
Концентратори і Брокери надають REST-інтерфейс, який може запускати запити і повернути вміст журналів. Це підходить для експортів за сценаріями.
Завантажте, очистіть і перегляньте в LogTotal
- Завантажте. Відкрити logtotal.com і додайте файл.
- Очистити.
- Переглянути.
Як це виглядає на реальних даних.
Коли все йде не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Завантаження містить мережеві сесії або метадані, а не журнали | Неправильний параметр завантаження | Оберіть завантаження журналів, а не мета чи PCAP |
| Експорт зупиняється на 100,000 сесій | Макс. експорт сесій обмеження | Розділити за часом або попросити адміністратора підняти обмеження |
| Файл не з’являється | Це фонове завдання | Отримайте його з лотка Завдань |
| Запит нічого не повертає | Неправильна служба або значення ключів метаданих | Перевірте значення device.type на панелі метаданих |
FAQ
Текст чи JSON?
Текст, коли ви хочете оригінальні рядки журналів, що підходить для джерел у стилі syslog. JSON, коли ви хочете метадані NetWitness разом із кожною подією.
Чи можу я експортувати пакети теж?
Так, як PCAP, але це мережевий трафік, не журнали. LogTotal працює з журналами.
