フォローする NetWitness Investigateで、クエリをEventsビューで実行し、イベントを選択（またはすべて選択）して、ログをダウンロードします。選択 テキスト して生ログ行を取得するか、 JSON して構造化イベントを取得します。大きなダウンロードはジョブとして実行され、準備ができたらJobsトレイからファイルを収集します。デフォルトでは、1回のエクスポートで最大100,000セッションを含めることができます。
NetWitness（以前のRSA NetWitness）はログをLog Decodersに格納し、ConcentratorsやBrokersを通じて検索可能にします。Prime CoreはNetWitness用に18,461の検出ルールを備え、631のMITRE ATT＆CK技法にマッピングされています。以下に、ログを取得し、サニタイズし、無料でLogTotalで調査する方法を示します。
始める前に
Investigateへのアクセス。 ログを保持するサービス（BrokerまたはConcentrator）を調査できる役割が必要です。
一度エクスポート形式を設定します。 In プロフィール→設定→調査、 ログ形式のエクスポート 設定は、ダウンロードのデフォルト形式を決定します：テキスト、XML、CSV、またはJSON。生ログにはテキストを選択します。空欄だと、NetWitnessは毎回確認します。
保持。 過去に遡る範囲は、Log Decoderのストレージに依存します。古いログは、アーカイバにのみ存在するかもしれません。
Investigateからのエクスポート
- 開く Investigate → Events、サービスを選択し、時間範囲を設定します。
- メタキーを使用してクエリを実行します（以下の例）。
- クエリを実行し、カウントを確認します。
- 必要なイベントを選択するか、すべてを選択せずに、一括ダウンロードオプションを選択して ログ （テキストまたはJSON）を選択します。
- 開く ジョブ トレイ（ストップウォッチアイコン）を開き、ジョブが完了したらファイルをダウンロードします。
1つのLinuxホスト用のクエリは次のようになります。Windowsログの場合、device.type = ‘winevent_nic’ が一般的なログパーサです。
device.type = 'rhlinux' && alias.host = 'web-03'
単一イベントの場合、イベント詳細のテキストタブには、生ログのための独自のダウンロードオプションがあります。
The 最大セッションエクスポート 設定は1回のエクスポートに含めることができるセッションの数を制限します（デフォルトで100,000）。大きなウィンドウの場合、時間で分割します。
オプション2：サービス上のREST API
ConcentratorsおよびBrokersはRESTインターフェースを露出し、クエリを実行し、ログコンテンツを返すことができます。それはスクリプト化されたエクスポートに適しています。
LogTotalでのアップロード、サニタイズ、レビュー
- アップロード。 開く logtotal.com にアクセスし、ファイルをドロップします。
- サニタイズ。
- レビュー。
実際のデータに基づくこの例。
うまくいかないとき
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| ダウンロードにはネットワークセッションまたはメタが含まれ、ログではありません。 | 間違ったダウンロードオプション | メタやPCAPではなく、ログダウンロードを選択します。 |
| エクスポートが100,000セッションで停止する | 最大セッションエクスポート 制限 | 時間で分割するか、管理者に制限を引き上げるよう依頼します。 |
| ファイルが表示されない | それはバックグラウンドジョブです。 | ジョブトレイから収集します。 |
| クエリは何も返さない | 間違ったサービスまたはメタキーの値 | メタパネルでdevice.typeの値を確認します。 |
FAQ
テキストまたはJSON？
オリジナルのログラインが必要な場合はテキストを使用します。これはsyslogスタイルのソースに適しています。各イベントの横にNetWitnessの解析済みメタが必要な場合はJSONを使用します。
パケットもエクスポートできますか？
はい、PCAPとしてですが、それはネットワークトラフィックであり、ログではありません。LogTotalはログで動作します。
