Comment exporter les journaux LogPoint

Utilisez l’API de recherche de LogPoint, qui fonctionne en deux appels au même point de terminaison, /getsearchlogs. Le premier appel envoie votre requête, plage de temps et dépôts et retourne un search_id. Le deuxième appel envoie cet search_id et retourne les lignes une fois la recherche terminée. Les deux appels sont des POSTs encodés en formulaire authentifiés avec votre nom d’utilisateur et votre clé secrète.

LogPoint est un SIEM populaire en Europe, et l’API de recherche est la méthode la plus propre pour extraire une tranche définie de ses données. Prime Core a 19 598 règles de détection pour LogPoint, mappées à 664 techniques MITRE ATT&CK. Voici comment obtenir des journaux, les assainir et les analyser gratuitement dans LogTotal.

Avant de commencer

Votre clé secrète. Chaque appel API contient votre nom d’utilisateur LogPoint et votre clé secrète. Vous trouvez la clé dans les paramètres de la clé d’accès de votre profil utilisateur. Traitez-la comme un mot de passe.

Noms des dépôts. Les recherches s’exécutent contre des dépôts, écrits sous la forme <ip>:5504/<repo>, par exemple 127.0.0.1:5504/_logpoint. La même famille de points de terminaison les liste pour vous (getalloweddata avec le type logpoint_repos).

Plage de temps. time_range prend soit un préréglage comme « Dernières 24 heures » soit une paire de secondes d’époque. Pour un travail d’incident, utilisez la paire d’époques ; date -d ‘2026-10-19T00:00:00Z’ +%s le calcule.

Exporter avec l’API de recherche

LP="https://logpoint.example.com"

# 1. démarrer la recherche (2026-10-19 00:00 UTC à 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. récupérer les résultats jusqu'à ce que la recherche soit terminée
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Gardez la requête comme un filtre. Une requête avec | chart ou d’autres agrégations retourne des lignes agrégées, pas des journaux. Le journal brut se trouve généralement dans le champ msg.

Télécharger, assainir et examiner dans LogTotal

1. Télécharger. Ouvrir logtotal.com et déposez le fichier.
2. Assainir.
3. Examiner.

À quoi cela ressemble avec des données réelles.

Quand ça se passe mal