如何导出SentinelOne日志

SentinelOne 提供三种值得导出的数据：终端遥测、威胁和活动（用户和代理在控制台上执行的操作审计）。遥测数据存储于 Singularity Data Lake，并有其独立的指南。威胁和活动数据通过管理 API (https://<console>.sentinelone.net/web/api/v2.1) 输出，使用 ApiToken 头部，以 JSON 格式按页面和游标导出。

当 SentinelOne 保护的网络出问题时，活动日志经常能够回答那些令人不安的问题。谁禁用了该代理？谁添加了该例外？谁将威胁标记为良性？Prime Core 为 SentinelOne 提供了14,741条检测规则，映射到644个 MITRE ATT&CK 技术。以下是获取数据、清理数据并免费在 LogTotal 中调查的方法。

免费开始

开始之前

一个 API 令牌。 创建一个服务用户（或使用您自己的用户）在持有数据的账户或站点拥有查看权限，并生成其 API 令牌。令牌会过期，请注意期限。

您的控制台 URL。 这是您登录时的主机名，例如 https://usea1-example.sentinelone.net。

导出活动和威胁

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

对于威胁，将 /activities 换成 /threats 并保存到另一个文件。两个端点都接受更多过滤参数，例如站点 ID 或活动类型。

在活动中寻找什么

查找被卸载、禁用或置于较低保护模式的代理。特别是对新例外设定，尤其是那些笼统的路径进行监视。检查在没有调查情况下被标记为已解决或良性的威胁，以及策略更改。仔细查看来自不熟悉地点的控制台登录记录。这些在事件发生之前或期间出现，都值得进一步关注。

在 LogTotal 中上传、清理和审查

1. 上传。 打开 logtotal.com 并放入文件。
2. 清理。 
3. 审查。 

当出错时