Jak eksportować logi LogPoint

Użyj API wyszukiwania LogPoint, które działa w dwóch wywołaniach tego samego endpointu, /getsearchlogs. Pierwsze wywołanie wysyła zapytanie, zakres czasu i repozytoria, i zwraca search_id. Drugie wywołanie wysyła ten search_id i zwraca wiersze, gdy wyszukiwanie jest zakończone. Oba wywołania są przesyłane w formie POST i uwierzytelniane za pomocą Twojej nazwy użytkownika i klucza tajnego.

LogPoint to popularny SIEM w Europie, a API wyszukiwania jest najczystszym sposobem na uzyskanie zdefiniowanej części jego danych. Prime Core posiada 19 598 reguł detekcyjnych dla LogPoint, zmapowanych do 664 technik MITRE ATT&CK. Poniżej znajdziesz, jak pobierać logi, oczyszczać je i badać za darmo w LogTotal.

Zanim zaczniesz

Twój klucz tajny. Każde wywołanie API zawiera Twoją nazwę użytkownika LogPoint i klucz tajny. Klucz znajdziesz w ustawieniach klucza dostępu w profilu użytkownika. Traktuj go jak hasło.

Nazwy repozytoriów. Wyszukiwania są przeprowadzane w repozytoriach, zapisanych jako <ip>:5504/<repo>, na przykład 127.0.0.1:5504/_logpoint. Ta sama rodzina endpointów listuje je dla Ciebie (getalloweddata z typem logpoint_repos).

Zakres czasu. time_range przyjmuje albo predefiniowaną wartość jak „Ostatnie 24 godziny”, albo parę sekund epokowych. Dla działań incydentalnych użyj pary epokowej; date -d '2026-10-19T00:00:00Z’ +%s oblicza to.

Eksport za pomocą API wyszukiwania

LP="https://logpoint.example.com"

# 1. rozpocznij wyszukiwanie (2026-10-19 00:00 UTC do 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. pobierz wyniki, dopóki wyszukiwanie nie zostanie zakończone
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Trzymaj zapytanie jako filtr. Zapytanie z | chart lub innymi agregacjami zwraca wiersze zagregowane, nie logi. Surowe logi zazwyczaj znajdują się w polu msg.

Prześlij, wyczyść i przejrzyj w LogTotal

1. Wgraj. Otwórz logtotal.com i wrzuć plik.
2. Wyczyść.
3. Przejrzyj.

Jak to wygląda na prawdziwych danych.

Kiedy coś pójdzie nie tak