Śledź W NetWitness Investigate uruchom swoje zapytanie w widoku Zdarzenia, wybierz zdarzenia (lub wszystkie), a następnie pobierz logi. Wybierz Tekst aby uzyskać surowe linie logów, lub JSON dla ustrukturyzowanych zdarzeń. Duże pobrania działają jako zadania; odbierasz plik z tacki zadań, gdy jest gotowy. Domyślnie jeden eksport może obejmować do 100 000 sesji.
NetWitness, wcześniej RSA NetWitness, przechowuje logi na Dekoderach Logów i umożliwia ich wyszukiwanie przez Koncentratory i Brokerów. Prime Core ma 18 461 reguł detekcji dla NetWitness, zmapowanych do 631 technik MITRE ATT&CK. Poniżej znajduje się sposób na wyeksportowanie logów, ich zanonimizowanie i darmowe dochodzenie w LogTotal.
Zanim zaczniesz
Dostęp do Investigate. Potrzebujesz roli, która może badać usługę (Broker lub Koncentrator) przechowującą logi.
Ustaw format eksportu raz. In Profil → Preferencje → Dochodzenia, preferencja Format eksportu logów określa domyślny format do pobrań: Tekst, XML, CSV lub JSON. Wybierz Tekst dla surowych logów. Jeśli jest pozostawiona pusta, NetWitness pyta za każdym razem.
Retencja. To, jak daleko wstecz możesz sięgnąć, zależy od pamięci Dekodera Logów. Starsze logi mogą istnieć tylko w archiwizatorze, jeśli taki posiadasz.
Eksport z Investigate
- Otwórz Investigate → Zdarzenia, wybierz usługę i ustaw zakres czasu.
- Zapytaj z kluczami meta (przykład poniżej).
- Uruchom zapytanie i sprawdź liczbę.
- Wybierz zdarzenia, które chcesz, lub nie wybieraj żadnych, aby pobrać wszystkie, i wybierz opcję pobierania dla logów (Tekst lub JSON).
- Otwórz tackę zadań (ikona stoperu) i pobierz plik, gdy zadanie zostanie ukończone.
Zapytanie dla jednego hosta Linux wygląda tak. Dla logów Windows wspólnym parserem logów jest device.type = 'winevent_nic’.
device.type = 'rhlinux' && alias.host = 'web-03'
Dla pojedynczego zdarzenia, zakładka Tekst szczegółów zdarzenia ma własne opcje pobierania dla surowego loga.
The Maksymalny eksport sesji ustawia limit, ile sesji jeden eksport może zawierać (domyślnie 100 000). Dla większych okien podziel według czasu.
Opcja 2: REST API na usługach
Koncentratory i Brokery udostępniają interfejs REST, który może uruchamiać zapytania i zwracać zawartość logów. Dostosowane to do skryptowanych eksportów.
Prześlij, zanonimizuj i przejrzyj w LogTotal
- Prześlij. Otwórz logtotal.com i upuść plik.
- Anonimizuj.
- Przejrzyj.
Jak to wygląda na prawdziwych danych.
Kiedy coś idzie źle
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Pobieranie zawiera sesje sieciowe lub metadane, nie logi | Zła opcja pobierania | Wybierz pobieranie logów, nie metadanych lub PCAP |
| Eksport zatrzymuje się na 100 000 sesji | Maksymalny eksport sesji limit | Podziel według czasu, lub poproś administratora o podniesienie limitu |
| Plik się nie pojawia | To zadanie w tle | Odbierz go z tacki zadań |
| Zapytanie nic nie zwraca | Zły serwis lub wartości kluczy meta | Sprawdź wartości device.type w panelu meta |
FAQ
Tekst czy JSON?
Tekst, gdy chcesz oryginalne linie logów, co pasuje do źródeł w stylu syslog. JSON, gdy chcesz, aby NetWitness przetworzył metadane w każdym zdarzeniu.
Czy mogę eksportować pakiety również?
Tak, jako PCAP, ale to ruch sieciowy, nie logi. LogTotal działa z logami.
