Seguir Instale o CLI do LimaCharlie (pip install limacharlie), faça login com o ID da sua organização e uma chave de API, e execute uma consulta LCQL com limacharlie search run para o intervalo de tempo que você precisa, com saída em JSON. Os eventos retornam na estrutura {routing, event} do LimaCharlie. Para exportação contínua em massa, configure uma Saída para o S3, Google Cloud Storage ou outro destino.
Por padrão, o LimaCharlie mantém um ano de telemetria em seu lago de dados Insight, o que torna a investigação retrospectiva incomumente prática. O Prime Core possui mais de 24.000 regras de detecção exclusivas, mapeadas para 676 técnicas do MITRE ATT&CK. Abaixo está como obter eventos, sanitizá-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Uma chave de API e seu OID. Ambos estão no aplicativo web em Gerenciamento de Acesso → REST API. Dê à chave as permissões necessárias para consultar o Insight.
Consultas custam dinheiro. Consultas LCQL são cobradas pelo volume de dados que escaneiam. Execuções de teste dão uma estimativa primeiro. Afine por plataforma, tipo de evento e host antes de expandir o intervalo de tempo.
Conheça os tipos de eventos. O LimaCharlie nomeia os eventos por tipo: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (logs de eventos do Windows) e assim por diante. Escolha aqueles que são importantes para a sua pergunta.
Exportar com o CLI
pip install limacharlie
limacharlie auth login # solicita seu OID e chave de API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Uma consulta LCQL tem partes separadas por pipes: um seletor de sensores (plat == windows), os tipos de evento, um filtro e, opcionalmente, uma projeção de campos. Se a saída for um array, achatar com jq -c ‘.[]’.
O CLI também pode gerar uma consulta LCQL a partir de uma descrição em linguagem simples (limacharlie ai generate-query), o que ajuda quando você não se lembra dos caminhos dos campos.
Em Massa: Saídas
Para exportação contínua, adicione uma Saída no aplicativo web que envie eventos (e detecções ou registros de auditoria, se você quiser) para S3, Google Cloud Storage, uma SIEM ou um webhook. As Saídas enviam dados a partir do momento em que são criadas. Para o histórico, consulte o Insight como acima.
Carregar, sanitizar e revisar no LogTotal
- Carregar. Abrir logtotal.com e solte o arquivo.
- Sanitizar.
- Revisar.
Quando algo dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| Erros de autenticação | OID ou chave incorreta, ou permissões ausentes | Recrie a chave com permissões de consulta |
| Consulta lenta ou cara | Muito ampla: todos os eventos, todos os sensores | Adicione um seletor de sensores e tipos de evento |
| Nenhum resultado | Hostname no campo errado, ou tipo de evento incorreto | Verifique os caminhos dos campos com uma pequena consulta primeiro |
| Nada anterior a um ano | Retenção do Insight | Use o destino da sua Saída para dados mais antigos |
FAQ
O LimaCharlie pode coletar arquivos EVTX de um endpoint?
Sim, como artefatos coletados do sensor, e logs de eventos do Windows também fluem como eventos WEL.
Existe um modo de consulta interativa mais antigo?
Sim. Versões anteriores do CLI tinham um shell de consulta limacharlie interativo com set_output e set_format json. O comando search run é a rota scriptável.
