Folgen In NetWitness Investigate, führen Sie Ihre Abfrage in der Ereignisansicht aus, wählen Sie die Ereignisse (oder alle davon) und laden Sie die Protokolle herunter. Wählen Sie Text um die rohen Protokollzeilen zu erhalten, oder JSON für strukturierte Ereignisse. Große Downloads werden als Jobs ausgeführt; Sie holen sich die Datei aus dem Job-Tablett ab, wenn sie bereit ist. Standardmäßig kann ein Export bis zu 100.000 Sitzungen umfassen.
NetWitness, früher RSA NetWitness, speichert Protokolle auf Log Decoders und macht sie über Concentrators und Brokers durchsuchbar. Prime Core hat 18.461 Erkennungsregeln für NetWitness, die auf 631 MITRE ATT&CK-Techniken abgebildet sind. Im Folgenden wird beschrieben, wie man Protokolle extrahiert, sie bereinigt und kostenlos in LogTotal untersucht.
Bevor Sie beginnen
Zugang zu Investigate. Sie benötigen eine Rolle, die den Dienst (Broker oder Concentrator), der die Protokolle hält, untersuchen kann.
Legen Sie das Exportformat einmalig fest. In Profil → Einstellungen → Untersuchung, die Export-Log-Format Präferenz entscheidet über das Standardformat für Downloads: Text, XML, CSV oder JSON. Wählen Sie Text für rohe Protokolle. Wenn es leer gelassen wird, fragt NetWitness jedes Mal nach.
Aufbewahrung. Wie weit Sie zurückgehen können, hängt vom Speicher des Log Decoders ab. Ältere Protokolle sind möglicherweise nur in einem Archiv vorhanden, wenn Sie eines haben.
Exportieren von Investigate
- Öffnen Sie Investigate → Ereignisse, wählen Sie den Dienst aus und legen Sie den Zeitrahmen fest.
- Abfrage mit Metaschlüsseln (Beispiel unten).
- Führen Sie die Abfrage aus und prüfen Sie die Anzahl.
- Wählen Sie die gewünschten Ereignisse aus oder keine, um alle zu nehmen, und wählen Sie die Download-Option für Protokolle (Text oder JSON).
- Öffnen Sie das Job-Tablett (das Stoppuhr-Symbol) und laden Sie die Datei herunter, wenn der Job abgeschlossen ist.
Eine Abfrage für einen Linux-Host sieht so aus. Für Windows-Protokolle ist device.type = ‚winevent_nic‘ der gängige Protokollparser.
device.type = 'rhlinux' && alias.host = 'web-03'
Für ein einzelnes Ereignis hat die Text-Registerkarte der Ereignisdetails eigene Download-Optionen für den Rohprotokoll.
The Maximalsitzungs-Export Die Einstellung begrenzt, wie viele Sitzungen ein Export enthalten kann (standardmäßig 100.000). Für größere Fenster teilen Sie nach Zeit.
Option 2: REST-API auf den Diensten
Concentrators und Brokers bieten eine REST-Schnittstelle, die Abfragen ausführen und Protokollinhalte zurückgeben kann. Das eignet sich für geskriptete Exporte.
Hochladen, bereinigen und überprüfen in LogTotal
- Hochladen. Öffnen Sie logtotal.com und die Datei einfügen.
- Bereinigen.
- Überprüfen.
Wie das bei echten Daten aussieht.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Der Download enthält Netzwerksitzungen oder Meta, keine Protokolle | Falsche Download-Option | Wählen Sie den Protokoll-Download, nicht Meta oder PCAP |
| Export endet bei 100.000 Sitzungen | Maximalsitzungs-Export Begrenzung | Nach Zeit aufteilen oder einen Administrator bitten, das Limit zu erhöhen |
| Keine Datei erscheint | Es ist ein Hintergrundjob | Holen Sie es aus dem Job-Tablett |
| Abfrage ergibt nichts | Falscher Dienst oder Meta-Schlüssel-Werte | Überprüfen Sie die device.type-Werte im Meta-Bereich |
FAQ
Text oder JSON?
Text, wenn Sie die ursprünglichen Protokollzeilen möchten, was für syslog-ähnliche Quellen geeignet ist. JSON, wenn Sie NetWitness’ analysierte Meta-Daten neben jedem Ereignis haben möchten.
Kann ich auch Pakete exportieren?
Ja, als PCAP, aber das ist Netzwerkverkehr, keine Protokolle. LogTotal funktioniert mit den Protokollen.
