Jak eksportować logi Sekoia

Użyj API wyszukiwania zdarzeń Sekoia.io w trzech krokach. Utwórz zadanie wyszukiwania (POST /v1/sic/conf/events/search/jobs) z zapytaniem i przedziałem czasowym, poczekaj, aż zadanie zostanie zakończone, a następnie odczytaj jego zdarzenia w stronach do 1 000. Funkcja Eksportuj zdarzenia Przycisk na stronie Zdarzenia działa również, ale zatrzymuje się na 500 zdarzeniach. W przypadku dużych wolumenów Sekoia oferuje API masowego eksportu oraz własne narzędzie sekoia-event-exporter.

Sekoia.io to europejska platforma SOC, a jej magazyn zdarzeń często jest pierwszym miejscem, do którego użytkownicy zaglądają podczas śledztwa. Prime Core ma 23 983 reguły wykrywania, zmapowane do 676 technik MITRE ATT&CK. Poniżej opisano, jak pobrać zdarzenia, zanonimizować je i zbadać za darmo w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Klucz API. Utwórz jeden w Sekoia.io z uprawnieniami do wyszukiwania zdarzeń. Dla wyszukiwania wystarczy uprawnienie tylko do odczytu; masowy eksport wymaga uprawnienia SIC_MASSIVE_EXPORT_EVENTS.

API host twojego regionu. Domyślnie to https://api.sekoia.io. Inne regiony mają własne hosty, na przykład https://api.usa1.sekoia.io.

Język zapytań. API akceptuje te same zapytania co strona Zdarzenia. Poniższe przykłady używają klasycznej składni „dork” (term_lang: dork). Najpierw zbuduj i przetestuj zapytanie w interfejsie użytkownika.

Eksport za pomocą API wyszukiwania zdarzeń

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. Utwórz zadanie wyszukiwania
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. czekaj, aż zadanie zostanie zakończone (status 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. odczytaj zdarzenia, 1000 na raz
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Zdarzenia wracają od najnowszych. Zadanie, które się nie powiedzie, nigdy nie osiąga statusu 2, więc dodaj limit czasu, jeśli piszesz skrypt do regularnego używania.

W przypadku dużych eksportów, rozpocznij masowy eksport na zakończonym zadaniu (POST /v1/sic/conf/events/search/jobs//export), poczekaj na zadanie, a następnie pobierz link do pobrania. Pakiet sekoia-event-exporter na PyPI obejmuje ten przepływ pracy.

Prześlij, zanonimizuj i przejrzyj w LogTotal

1. Prześlij. Otwórz logtotal.com i wrzuć plik. 
2. Zanonimizuj. 
3. Przejrzyj. 

Kiedy coś pójdzie nie tak