Wie man Trellix Helix Logs exportiert

Führen Sie Ihre Suche über die Helix-Such-API aus: ein POST an https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search mit Ihrem API-Schlüssel im x-fireeye-api-key-Header und der Abfrage im Textkörper. Regionale Instanzen verwenden ihre eigenen Hosts, wie beispielsweise helix.eu.fireeye.com. Die Ergebnisse werden als JSON zurückgegeben, und die ursprüngliche Protokollzeile wird im Rohdatenfeld behalten.

Trellix Helix, ehemals FireEye Helix und in neueren Dokumentationen als Helix Enterprise bezeichnet, kombiniert Protokollsuche mit Erkennungsinhalten. Prime Core verfügt über 18.667 Erkennungsregeln für Trellix Helix, die 632 MITRE ATT&CK-Techniken zugeordnet sind. Unten wird beschrieben, wie Sie Ereignisse extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos starten

Bevor Sie beginnen

Ein API-Schlüssel. Erstellen Sie einen in Trellix Identity and Access Management unter API-Schlüssel, mit den Suchbereichen, die Ihre Abfrage benötigt.

Ihre Instanz-ID. Sie wird in der oberen linken Ecke der Helix-Oberfläche angezeigt und geht in jede API-URL ein.

Die Abfragesprache. Helix verwendet TQL, das MQL ersetzt hat. Freitextbegriffe ohne Feld werden mit dem Raw Message-Index abgeglichen. Erstellen und testen Sie die Abfrage zuerst auf der Helix-Suchseite.

Exportieren mit der Such-API

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Sobald Sie die Struktur kennen, flatten Sie sie mit jq -c auf ein Ereignis pro Zeile, und ziehen Sie das Rohfeld mit jq -r heraus, wenn die Quelle Text war.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab.
2. Bereinigen. 
3. Überprüfen.

Wie das bei echten Daten aussieht.

Wenn es schiefgeht