Datadog Cloud SIEMログをエクスポートする方法

Cloud SIEMはDatadogログ管理の上で動作するため、「Cloud SIEMログ」をエクスポートすることは、その背後にあるログをエクスポートすることを意味します。APIキーとアプリケーションキーを使用して、Logs Search API（POST /api/v2/logs/events/search）を利用し、次のページがなくなるまでカーソルを追従します。各ページには最大1,000個のログが含まれます。インデックス保存期間を超えた履歴については、S3、GCS、またはAzure Storageでログアーカイブを確認するか、リハイドレートしてください。セキュリティシグナルは別のAPIです。

Datadogは、多くのクラウドネイティブチームがすでにログを保持している場所であり、調査スライスの自然なソースとなります。Prime Coreには、Datadogに対して676のMITRE ATT&CKテクニックにマップされた23,983の検出ルールがあります。以下に、ログを取得し、サニタイズし、LogTotalで無料で調査する方法を示します。

無料で始めよう

始める前に

2つのキー。 Logs Search APIには、APIキー（DD-API-KEY）とアプリケーションキー（DD-APPLICATION-KEY）が必要です。アプリケーションキーは、ログを読み取ることができるユーザーまたはサービスアカウントに属している必要があります。また、スコープがある場合は、ログの読み取りアクセス権が必要です。

あなたのDatadogサイト。 APIホストはあなたのサイトに従います: api.datadoghq.com（US1）、api.us3.datadoghq.com、api.us5.datadoghq.com、api.datadoghq.eu、api.ap1.datadoghq.comなど。あなたのログインURLに一致するものを使用してください。

保存期間。 インデックス化されたログは、そのインデックスが保持されている限り検索可能です。古いログは、設定されたアーカイブにのみ存在します。

Logs Search APIでエクスポート

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# raw messages only
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

APIにはレート制限があります。大きなウィンドウの場合、時間がかかることを期待し、429エラーが表示されたらバックオフしてください。

古いログ: アーカイブ

ログアーカイブを設定した場合、DatadogはJSONファイルを圧縮してバケットに日付と時間で整理して書き込みます。必要な時間をダウンロードし、解凍してください。

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

LogTotalでアップロード、サニタイズ、レビュー

1. アップロード。 開く logtotal.com ファイルをドロップしてください。
2. サニタイズ。 
3. レビュー。 

問題が発生した場合