如何导出Trellix Helix日志

通过Helix搜索API运行您的搜索：在x-fireeye-api-key头中使用您的API密钥，通过POST发送到https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search，查询内容放在请求体中。区域实例使用各自的主机，例如helix.eu.fireeye.com。结果以JSON格式返回，原始日志行保存在原始消息字段中。

Trellix Helix，前称FireEye Helix，且在新文档中称为Helix Enterprise，将日志搜索与检测内容结合。Prime Core为Trellix Helix提供了18,667条检测规则，映射到632种MITRE ATT&CK技术。下面是如何导出事件、清理并在LogTotal中免费调查的步骤。

免费开始使用

在您开始之前

一个API密钥。 在Trellix身份和访问管理下创建 API密钥，使用查询所需的搜索范围。

您的实例ID。 它显示在Helix界面的左上角，并用于每个API URL。

查询语言。 Helix使用TQL，取代了MQL。没有字段的自由文本术语将与原始消息索引匹配。首先在Helix搜索页面构建并测试查询。

使用搜索API导出数据

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

一旦知道结构，使用jq -c将其扁平化为每行一个事件，当源是文本时使用jq -r提取原始字段。

上传、清理并在LogTotal中审核

1. 上传。 打开 logtotal.com 并放入文件。
2. 清理。 
3. 审核。

实际数据上的表现。

出现问题