Cómo Exportar Registros de LogPoint

Utiliza la API de búsqueda de LogPoint, que funciona en dos llamadas al mismo endpoint, /getsearchlogs. La primera llamada envía tu consulta, rango de tiempo y repositorios, y devuelve un search_id. La segunda llamada envía ese search_id y devuelve las filas una vez que la búsqueda es final. Ambas llamadas son POST codificados en formulario autenticados con tu nombre de usuario y clave secreta.

LogPoint es un SIEM popular en Europa, y la API de búsqueda es la manera más limpia de obtener una porción definida de sus datos. Prime Core tiene 19,598 reglas de detección para LogPoint, mapeadas a 664 técnicas de MITRE ATT&CK. A continuación se muestra cómo obtener los registros, sanitizarlos e investigarlos gratuitamente en LogTotal.

Antes de comenzar

Tu clave secreta. Cada llamada a la API lleva tu nombre de usuario de LogPoint y clave secreta. Encuentras la clave en la configuración de la clave de acceso de tu perfil de usuario. Trátala como una contraseña.

Nombres de repositorios. Las búsquedas se ejecutan contra repositorios, escritos como <ip>:5504/<repo>, por ejemplo 127.0.0.1:5504/_logpoint. La misma familia de endpoints los lista para ti (getalloweddata con el tipo logpoint_repos).

Rango de tiempo. time_range toma ya sea un preajuste como «Últimas 24 horas» o un par de segundos de época. Para el trabajo de incidentes, usa el par de época; date -d ‘2026-10-19T00:00:00Z’ +%s lo calcula.

Exportar con la API de búsqueda

LP="https://logpoint.example.com"

# 1. inicia la búsqueda (2026-10-19 00:00 UTC a 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. obtener resultados hasta que la búsqueda sea final
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Mantén la consulta como un filtro. Una consulta con | chart u otras agregaciones devuelve filas agregadas, no registros. El registro sin procesar generalmente se encuentra en el campo msg.

Sube, sanitiza y revisa en LogTotal

1. Sube. Abre logtotal.com y suelta el archivo.
2. Sanitiza.
3. Revisa.

Cómo se ve esto en datos reales.

Cuando algo sale mal