Як експортувати логи SentinelOne

SentinelOne зберігає три види даних, які варто експортувати: телеметрія кінцевих пристроїв, загрози та активність (журнал аудиту, що користувачі та агенти робили в консолі). Телеметрія зберігається в Singularity Data Lake і має власний гід. Загрози та активність отримуються з API управління (https://<console>.sentinelone.net/web/api/v2.1) з заголовком ApiToken, у вигляді JSON, сторінка за сторінкою з курсором.

Коли щось іде не так у мережі, захищеній SentinelOne, журнал активності часто дає відповіді на неприємні питання. Хто вимкнув цей агент? Хто додав цей виняток? Хто позначив загрозу як безпечну? Prime Core має 14,741 правил виявлення для SentinelOne, відповідно до 644 технік MITRE ATT&CK. Нижче – як отримати дані, очистити їх і дослідити безкоштовно в LogTotal.

Почати безкоштовно

Перш ніж почати

Токен API. Створіть сервісного користувача (або використовуйте свого власного користувача) з правами перегляду на рахунку або сайті, де зберігаються дані, і згенеруйте його токен API. Токени мають термін дії; зверніть увагу на час.

Ваш URL консолі. Це ім’я хоста, до якого ви входите, наприклад https://usea1-example.sentinelone.net.

Експортувати активність і загрози

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Для загроз, замініть /activities на /threats і збережіть у інший файл. Обидва кінцеві пункти приймають більше фільтрів, таких як ID сайтів або типи активності. 

Що шукати в активності

Шукайте видалення, вимкнення або перехід агентів у менш захисний режим. Слідкуйте за новими винятками, особливо за загальними шляхами. Перевірте загрози, відзначені як вирішені або безпечні без розслідування, і зміни політик. Уважно стежте за входами в консоль із незнайомих місць. Будь-яка з цих дій, безпосередньо перед або у процесі інциденту, варта другого погляду.

Завантаження, очищення та огляд у LogTotal

1. Завантаження. Відкрити logtotal.com і вставити файл. 
2. Очистити. 
3. Перегляд. 

Коли це йде не так