Cómo Exportar Registros de Trellix Helix

Ejecuta tu búsqueda a través de la API de búsqueda de Helix: una POST a https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search con tu clave API en el encabezado x-fireeye-api-key y la consulta en el cuerpo. Las instancias regionales usan sus propios hosts, como helix.eu.fireeye.com. Los resultados regresan como JSON, y la línea de registro original se mantiene en el campo de mensaje bruto.

Trellix Helix, anteriormente FireEye Helix y llamado Helix Enterprise en documentos más recientes, combina la búsqueda de registros con contenido de detección. Prime Core tiene 18,667 reglas de detección para Trellix Helix, mapeadas a 632 técnicas MITRE ATT&CK. A continuación, se muestra cómo extraer eventos, saneárlos e investigarlos de forma gratuita en LogTotal.

Comienza Gratis

Antes de comenzar

Una clave API. Crea una en Trellix Identity and Access Management bajo Claves API, con los alcances de búsqueda que necesita tu consulta.

Tu ID de instancia. Se muestra en la esquina superior izquierda de la interfaz de Helix, y va en cada URL de la API.

El lenguaje de consulta. Helix utiliza TQL, que reemplazó a MQL. Los términos de texto libre sin un campo se comparan con el índice de mensajes brutos. Construye y prueba la consulta primero en la página de búsqueda de Helix.

Exportar con la API de búsqueda

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Una vez que conoces la estructura, aplánala a un evento por línea con jq -c, y extrae el campo bruto con jq -r cuando la fuente era texto.

Subir, sanear y revisar en LogTotal

1. Subir. Abrir logtotal.com y suelta el archivo.
2. Sanear. 
3. Revisar.

Cómo se ve esto en datos reales.

Cuando algo sale mal