Como Exportar Logs do Trellix Helix

Execute sua busca através da API de pesquisa do Helix: um POST para https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search com sua chave de API no cabeçalho x-fireeye-api-key e a consulta no corpo. Instâncias regionais usam seus próprios hosts, como helix.eu.fireeye.com. Os resultados são retornados como JSON, e a linha de log original é mantida no campo de mensagem bruta.

Trellix Helix, anteriormente FireEye Helix e chamado de Helix Enterprise em documentos mais novos, combina a busca de logs com conteúdo de detecção. O Prime Core tem 18.667 regras de detecção para o Trellix Helix, mapeadas para 632 técnicas da MITRE ATT&CK. Abaixo está como extrair eventos, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Uma chave de API. Crie uma no Trellix Identity and Access Management em Chaves de API, com os escopos de pesquisa que sua consulta necessita.

Seu ID de instância. É mostrado no canto superior esquerdo da interface do Helix e é usado em todas as URLs da API.

A linguagem de consulta. O Helix usa TQL, que substituiu MQL. Termos de texto livre sem um campo são correspondidos ao índice de mensagem bruta. Construa e teste a consulta na página de pesquisa do Helix primeiro.

Exporte com a API de pesquisa

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Uma vez que você saiba a estrutura, achate-a para um evento por linha com jq -c, e extraia o campo bruto com jq -r quando a fonte for texto.

Envie, sanitize e revise no LogTotal

1. Envie. Abra logtotal.com e solte o arquivo.
2. Sanitize. 
3. Revise.

Como isso parece em dados reais.

Quando dá errado