如何导出 Sekoia 日志

使用 Sekoia.io 事件搜索 API 的三个步骤。创建一个带有查询和时间窗口的搜索作业 (POST /v1/sic/conf/events/search/jobs)，等待作业完成，然后以最多 1,000 个为一页读取其事件。 导出事件 事件页面中的按钮也能使用，但它限制在 500 个事件。对于大量数据，Sekoia 提供了大规模导出 API 和其专属的 sekoia-event-exporter 工具。

Sekoia.io 是一个欧洲 SOC 平台，其事件存储通常是用户调查时首先查看的地方。Prime Core 提供了 23,983 个检测规则，映射到 676 个 MITRE ATT&CK 技术。以下介绍如何导出事件、清理并在 LogTotal 中免费调查。

免费入门

在您开始之前

一个 API 密钥。 在 Sekoia.io 中创建一个具有搜索事件权限的密钥。只读权限足以搜索；大规模导出需要 SIC_MASSIVE_EXPORT_EVENTS 权限。

您所在区域的 API 主机。 默认是 https://api.sekoia.io。其他地区有其自身的主机，例如 https://api.usa1.sekoia.io。

查询语言。 API 接受与事件页面相同的查询。以下示例使用经典的“dork”语法（term_lang: dork）。首先在 UI 中构建并测试查询。

使用事件搜索 API 导出

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. 创建搜索作业
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. 等到作业完成（状态 2）
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. 以每次 1,000 个读取事件
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

事件按照最新先返回。失败的作业永远不会达到状态 2，因此如果您将其脚本化用于常规使用，请添加超时。

对于大规模导出，在完成的作业上启动大规模导出 (POST /v1/sic/conf/events/search/jobs//export)，等待任务，然后获取下载链接。在 PyPI 上的 sekoia-event-exporter 包封装了这个工作流。

在 LogTotal 中上传、清理和审查

1. 上传。 打开 logtotal.com 并拖入文件。
2. 清理。 
3. 审查。 

当出现问题时