LogPoint ログをエクスポートする方法

LogPointのSearch APIを使用します。これは、同じエンドポイント/getsearchlogsに対する2回の呼び出しで動作します。最初の呼び出しは、クエリ、時間範囲、リポジトリを送信し、search_idを返します。2回目の呼び出しは、そのsearch_idを送信し、検索が完了すると行を返します。両方の呼び出しは、ユーザー名とシークレットキーで認証されたフォームエンコードされたPOSTです。

LogPointはヨーロッパで人気のあるSIEMであり、Search APIを使うことが、その定義されたデータの一部を取得するための最適な方法です。Prime Coreには、LogPoint用の19,598の検出ルールがあり、664のMITRE ATT&CK技術にマッピングされています。以下は、ログを取得し、消去し、LogTotalで無料で調査する方法です。

始める前に

あなたのシークレットキー。 すべてのAPI呼び出しには、LogPointのユーザー名とシークレットキーが含まれます。キーは、ユーザープロファイルのアクセスキー設定で確認できます。それをパスワードのように取り扱ってください。

リポジトリ名。 検索はリポジトリに対して実行されます。例えば、:5504/、127.0.0.1:5504/_logpoint として記述されます。同じエンドポイントファミリがリポジトリをリストします (getalloweddataでtype logpoint_reposを使用)。

時間範囲。 time_rangeは、「過去24時間」などのプリセットまたはエポック秒のペアを取ります。インシデント作業にはエポックペアを使用してください。date -d ‘2026-10-19T00:00:00Z’ +%s でそれを計算します。

Search APIによるエクスポート

LP="https://logpoint.example.com"

# 1. 検索を開始します (2026-10-19 00:00 UTC から 2026-10-20 00:00 UTCまで)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. 検索が完了するまで結果を取得します
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

クエリはフィルタとして保持します。クエリが| chart やその他の集約を含む場合、集約された行が返されます、ログではありません。生のログは通常、msgフィールドにあります。

LogTotalでのアップロード、消去、レビュー

1. アップロード。 開く logtotal.com そしてファイルをドロップします。
2. 消去。
3. レビュー。

実際のデータでの見え方。

うまくいかない場合