Seguir Instala la CLI de LimaCharlie (pip install limacharlie), inicia sesión con tu ID de organización y una clave API, y ejecuta una consulta LCQL con limacharlie search run para el rango de tiempo que necesites, con salida JSON. Los eventos regresan en la estructura {routing, event} de LimaCharlie. Para una exportación continua y masiva, configura una Salida a S3, Google Cloud Storage u otro destino.
LimaCharlie mantiene un año de telemetría en su lago de datos Insight por defecto, lo que hace que la investigación posterior sea inusualmente práctica. Prime Core tiene más de 24,000 reglas de detección únicas, mapeadas a 676 técnicas MITRE ATT&CK. A continuación te mostramos cómo obtener eventos, sanitizarlos e investigarlos gratuitamente en LogTotal.
Antes de empezar
Una clave API y tu OID. Ambos están en la aplicación web bajo Gestión de Accesos → API REST. Dale a la clave los permisos necesarios para consultar Insight.
Las consultas cuestan dinero. Las consultas LCQL se cobran según los datos que escanean. Las ejecuciones de prueba te dan una estimación primero. Delimita por plataforma, tipo de evento y host antes de ampliar el rango de tiempo.
Conoce los tipos de eventos. LimaCharlie nombra los eventos por tipo: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (registros de eventos de Windows), etc. Escoge los que importan para tu pregunta.
Exportar con la CLI
pip install limacharlie
limacharlie auth login # solicita tu OID y clave API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Una consulta LCQL tiene partes separadas por barras verticales: un selector de sensor (plat == windows), los tipos de eventos, un filtro y opcionalmente una proyección de campos. Si la salida es un arreglo, aplanarla con jq -c ‘.[]’.
La CLI también puede generar una consulta LCQL a partir de una descripción en lenguaje simple (limacharlie ai generate-query), lo cual ayuda cuando no recuerdas las rutas de los campos.
Al por mayor: Salidas
Para una exportación continua, agrega una Salida en la aplicación web que envíe eventos (y detecciones o registros de auditoría, si los quieres) a S3, Google Cloud Storage, un SIEM o un webhook. Las salidas envían datos desde el momento en que se crean. Para el historial, consulta Insight como se indicó.
Subir, sanitizar y revisar en LogTotal
- Subir. Abrir logtotal.com y soltar el archivo.
- Sanitizar.
- Revisar.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Errores de autenticación | OID o clave incorrectos, o permisos faltantes | Recrear la clave con permisos de consulta |
| La consulta es lenta o costosa | Demasiado amplio: todos los eventos, todos los sensores | Agregar un selector de sensor y tipos de eventos |
| Sin resultados | Nombre de host en el campo incorrecto, o tipo de evento equivocado | Verificar las rutas de los campos con una consulta pequeña primero |
| Nada más antiguo que un año | Retención en Insight | Usa tu destino de Salida para datos más antiguos |
FAQ
¿Puede LimaCharlie recolectar archivos EVTX desde un endpoint?
Sí, como artefactos recolectados desde el sensor, y los registros de eventos de Windows también se transmiten como eventos WEL.
¿Hay un modo de consulta interactivo más antiguo?
Sí. Las versiones anteriores de la CLI tenían un shell de consulta interactiva de limacharlie con set_output y set_format json. El comando search run es la ruta para script.
