Jak eksportować logi Trellix Helix

Uruchom wyszukiwanie przez Helix search API: POST do https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search z kluczem API w nagłówku x-fireeye-api-key i zapytaniem w treści. Regionalne instancje używają własnych hostów, takich jak helix.eu.fireeye.com. Wyniki są zwracane jako JSON, a oryginalna linia logu jest przechowywana w polu surowej wiadomości.

Trellix Helix, dawniej FireEye Helix, a w nowszej dokumentacji zwany Helix Enterprise, łączy wyszukiwanie logów z zawartością wykrywających. Prime Core posiada 18 667 reguł wykrywających dla Trellix Helix, zmapowanych na 632 techniki MITRE ATT&CK. Poniżej znajduje się sposób na uzyskanie, oczyszczenie i zbadanie wydarzeń za darmo w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Klucz API. Utwórz go w Trellix Identity and Access Management w sekcji Klucze API, z uprawnieniami wyszukiwania, które są potrzebne dla twojego zapytania.

Twój identyfikator instancji. Jest wyświetlany w lewym górnym rogu interfejsu Helix i jest częścią każdego URL API.

Język zapytań. Helix używa TQL, który zastąpił MQL. Terminy wolnego tekstu bez pola są dopasowywane względem indeksu surowej wiadomości. Stwórz i przetestuj zapytanie najpierw na stronie wyszukiwania Helix.

Eksportuj za pomocą search API

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Gdy znasz strukturę, spłaszcz ją do jednego zdarzenia na linię za pomocą jq -c i wydrukuj surowe pole za pomocą jq -r, gdy źródłem był tekst.

Prześlij, oczyść i przejrzyj w LogTotal

1. Prześlij. Otwórz logtotal.com i upuść plik.
2. Oczyść. 
3. Przejrzyj.

Jak to wygląda na rzeczywistych danych.

Gdy coś idzie nie tak