Suivre Exécutez votre recherche via l’API de recherche Helix : un POST vers https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search avec votre clé API dans l’en-tête x-fireeye-api-key et la requête dans le corps. Les instances régionales utilisent leurs propres hôtes, tels que helix.eu.fireeye.com. Les résultats reviennent sous forme de JSON, et la ligne de journal d’origine est conservée dans le champ du message brut.
Trellix Helix, anciennement FireEye Helix et appelé Helix Enterprise dans les documents récents, combine la recherche de journaux avec du contenu de détection. Prime Core dispose de 18 667 règles de détection pour Trellix Helix, mappées à 632 techniques MITRE ATT&CK. Vous trouverez ci-dessous comment obtenir des événements, les assainir et les étudier gratuitement dans LogTotal.
Avant de commencer
Une clé API. Créez-en une dans Trellix Identity and Access Management sous Clés API, avec les portées de recherche nécessaires à votre requête.
Votre identifiant d’instance. Il est affiché dans le coin supérieur gauche de l’interface Helix et est intégré dans chaque URL API.
Le langage de requête. Helix utilise TQL, qui a remplacé MQL. Les termes de texte libre sans champ sont associés à l’index des messages bruts. Construisez et testez la requête d’abord dans la page de recherche Helix.
Exportez avec l’API de recherche
HELIX="https://apps.fireeye.com/helix/id/<instance-id>"
curl -sS -X POST "$HELIX/api/v1/search"
-H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json'
-d '{"query": "hostname:"web-03""}'
> helix_web03_1019.json
Une fois que vous connaissez la structure, aplatissez-la en un événement par ligne avec jq -c, et extrayez le champ brut avec jq -r lorsque la source était du texte.
Téléchargez, assainissez et examinez dans LogTotal
- Téléchargez. Ouvrir logtotal.com et déposez le fichier.
- Assainir.
- Examiner.
À quoi cela ressemble-t-il sur des données réelles.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| 401 ou 403 | Portées manquantes dans la clé, ou l’en-tête incorrect | Vérifiez les portées de la clé ; utilisez x-fireeye-api-key |
| 404 | Identifiant d’instance incorrect ou hôte régional incorrect | Copiez l’identifiant d’instance depuis l’interface utilisateur ; utilisez l’hôte de votre région |
| Erreur de requête | Syntaxe MQL dans une requête TQL | Réécrivez-la en TQL ; testez dans l’interface utilisateur |
| Résultats coupés | Limite de résultats | Divisez l’intervalle de temps |
FAQ
Est-ce la même chose que la recherche Trellix EDR ?
Non. Trellix EDR a sa propre API de recherche en temps réel. Ce guide couvre la recherche de journaux Helix.
Qu’en est-il des alertes Helix ?
Les alertes ont leur propre point de terminaison (/api/v3/alerts). Pour LogTotal, exportez les événements qui les sous-tendent.
