Come Esportare i Log di Trellix Helix

Esegui la tua ricerca tramite l’API di ricerca Helix: un POST a https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search con la tua chiave API nell’header x-fireeye-api-key e la query nel corpo. Le istanze regionali utilizzano i propri host, come helix.eu.fireeye.com. I risultati vengono restituiti come JSON e la riga di log originale viene mantenuta nel campo del messaggio raw.

Trellix Helix, precedentemente FireEye Helix e chiamato Helix Enterprise nei documenti più recenti, combina la ricerca dei log con il contenuto di rilevamento. Prime Core ha 18.667 regole di rilevamento per Trellix Helix, mappate su 632 tecniche MITRE ATT&CK. Di seguito è riportato come estrarre eventi, sanificarli e analizzarli gratuitamente in LogTotal.

Inizia Gratis

Prima di iniziare

Una chiave API. Creane una in Trellix Identity and Access Management in Chiavi API, con le autorizzazioni di ricerca di cui la tua query ha bisogno.

Il tuo ID istanza. È mostrato nell’angolo in alto a sinistra dell’interfaccia Helix e viene incluso in ogni URL API.

Il linguaggio di query. Helix utilizza TQL, che ha sostituito MQL. I termini in testo libero senza un campo vengono confrontati con l’indice del messaggio raw. Costruisci e testa la query prima nella pagina di ricerca Helix.

Esporta con l’API di ricerca

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Una volta conosciuta la struttura, appiattiscila a un evento per linea con jq -c e estrai il campo raw con jq -r quando la fonte era testo.

Carica, sanifica e revisione in LogTotal

1. Carica. Apri logtotal.com e carica il file.
2. Sanifica. 
3. Revisiona.

Come appare con dati reali.

Quando qualcosa va storto