Come esportare i log di Datadog Cloud SIEM

Cloud SIEM si basa su Datadog Log Management, quindi esportare i “Cloud SIEM logs” significa esportare i log che lo supportano. Usa l’API Logs Search, POST /api/v2/logs/events/search, con una chiave API e una chiave applicativa, e segui il cursore fino a quando non ci sono più pagine successive; ogni pagina contiene fino a 1.000 log. Per la cronologia oltre la conservazione dell’indice, leggi i tuoi archivi di log in S3, GCS o Azure Storage, o riidratali. I segnali di sicurezza sono un’API separata.

Datadog è il luogo in cui molti team cloud-native conservano già i loro log, il che lo rende la fonte naturale per una parte dell’indagine. Prime Core ha 23.983 regole di rilevamento per Datadog, mappate su 676 tecniche MITRE ATT&CK. Di seguito è riportato come estrarre, sanitizzare e indagare i log gratuitamente in LogTotal.

Inizia Gratis

Prima di iniziare

Due chiavi. L’API Logs Search necessita di una chiave API (DD-API-KEY) e di una chiave applicativa (DD-APPLICATION-KEY). La chiave applicativa deve appartenere a un utente o a un account di servizio, che possa leggere i log, e se è con ambito, deve avere accesso di lettura ai log.

Il tuo sito Datadog. L’host dell’API segue il tuo sito: api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com e altri. Usa quello che corrisponde al tuo URL di accesso.

Retention. I log indicizzati sono ricercabili per tutto il tempo in cui il loro indice li mantiene. I log più vecchi esistono solo negli archivi, se ne hai configurati.

Esporta con l’API Logs Search

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# messaggi grezzi solo
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

L’API ha un limite di velocità. Per finestre grandi, aspettati che impieghi un po’ di tempo e fermati quando vedi 429.

Log più vecchi: archivi

Se hai configurato archivi di log, Datadog scrive file JSON compressi sul tuo bucket, organizzati per data e ora. Scarica le ore di cui hai bisogno e decomprimile:

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

Carica, sanitizza e rivedi in LogTotal

1. Carica. Apri logtotal.com e trascina il file.]
2. Sanitizza. 
3. Rivedi. 

Quando le cose vanno male