Comment Exporter les Journaux SentinelOne

SentinelOne conserve trois types de données dignes d’être exportées : la télémétrie des endpoints, les menaces et les activités (la piste d’audit de ce que les utilisateurs et les agents ont fait dans la console). La télémétrie réside dans le Singularity Data Lake et possède son propre guide. Les menaces et les activités sortent de l’API de gestion (https://.sentinelone.net/web/api/v2.1) avec un en-tête ApiToken, sous forme de JSON, page par page avec un curseur.

Lorsqu’un problème survient sur un réseau protégé par SentinelOne, le journal d’activité répond souvent aux questions inconfortables. Qui a désactivé cet agent ? Qui a ajouté cette exclusion ? Qui a marqué la menace comme bénigne ? Prime Core dispose de 14 741 règles de détection pour SentinelOne, mappées sur 644 techniques MITRE ATT&CK. Voici comment extraire les données, les assainir et les investiguer gratuitement dans LogTotal.

Commencez gratuitement

Avant de commencer

Un jeton API. Créez un utilisateur de service (ou utilisez votre propre utilisateur) avec des droits de vue sur le compte ou le site qui contient les données, et générez son jeton API. Les jetons expirent ; notez la date d’expiration.

Votre URL de console. C’est le nom d’hôte sur lequel vous vous connectez, par exemple https://usea1-example.sentinelone.net.

Exporter les activités et les menaces

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Pour les menaces, remplacez /activities par /threats et enregistrez dans un autre fichier. Les deux points de terminaison acceptent plus de filtres, tels que les ID de site ou les types d’activité. 

Ce qu’il faut rechercher dans les activités

Recherchez des agents désinstallés, désactivés ou mis en mode moins protecteur. Surveillez les nouvelles exclusions, surtout les chemins larges. Vérifiez les menaces marquées comme résolues ou bénignes sans enquête, et les changements de politique. Regardez de près les connexions à la console depuis des endroits inhabituels. Chacune de ces actions, juste avant ou pendant un incident, mérite une seconde enquête.

Téléversez, nettoyez et examinez dans LogTotal

1. Téléversez. Ouvrez logtotal.com et déposez-y le fichier. 
2. Nettoyez. 
3. Examinez. 

Quand cela tourne mal