フォローする LimaCharlie CLI をインストールします (pip install limacharlie) 。組織 ID と API キーでログインし、必要な時間範囲で limacharlie search run を使用して LCQL クエリを実行し、JSON 出力を取得します。イベントは LimaCharlie の {routing, event} 構造で返されます。継続的な大量エクスポートのためには、出力を S3、Google Cloud Storage、または他の宛先に設定します。
LimaCharlie はデフォルトで Insight データ レイクに 1 年間のテレメトリを保持しており、これにより事後調査が通常よりも実用的になります。Prime Core には 676 MITRE ATT&CK 技術にマッピングされた 24,000 を超えるユニークな検知ルールがあります。以下は、イベントを取得し、サニタイズし、LogTotal で無料で調査する方法です。
始める前に
API キーとあなたの OID。 両方ともウェブ アプリの アクセス管理 → REST APIの下にあります。Insight のクエリに必要な権限をキーに与えてください。
クエリはお金がかかります。 LCQL クエリは、スキャンするデータによって請求されます。まずドライランを行って見積もりを取得しましょう。プラットフォーム、イベント タイプ、およびホストで絞り込んでから時間範囲を広げてください。
イベント タイプを知る。 LimaCharlie はイベントをタイプ別に命名します: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (Windows イベント ログ) など。あなたの質問に重要ないくつかを選んでください。
CLI を使ったエクスポート
pip install limacharlie
limacharlie auth login # あなたの OID と API キーを尋ねます
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
LCQL クエリはパイプで分けられたパートを持っています: センサー選択子 (plat == windows), イベント タイプ, フィルター, そしてオプションでフィールドの投射。出力が配列の場合、jq -c ‘.[]’ で平坦化してください。
CLI はまた、平易な言語の説明から LCQL クエリを生成することができます (limacharlie ai generate-query)。これはフィールドの経路を思い出せないときに役立ちます。
バルク: 出力
継続的なエクスポートのためには、ウェブ アプリで S3、Google Cloud Storage、SIEM、または Webhook にイベント (検出や監査ログを希望する場合) を送信する出力を追加します。出力は作成された瞬間からデータを送信します。履歴を取得するには、上記のように Insight をクエリします。
LogTotal でのアップロード、サニタイズ、レビュー
- アップロード。 開く logtotal.com とファイルをドロップします。
- サニタイズ。
- レビュー。
問題が発生した場合
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| 認証エラー | OID またはキーが間違っているか、権限が不足しています | クエリ権限でキーを再作成します |
| クエリが遅いまたは高額 | あまりにも幅広い: すべてのイベント、すべてのセンサー | センサー選択子とイベント タイプを追加します |
| 結果なし | 間違ったフィールドにホスト名、または間違ったイベント タイプ | 最初に小さなクエリでフィールドの経路を確認します |
| 1 年より古いものは何もありません | Insight の保存期間 | 古いデータには出力先の宛先を使用します |
FAQ
LimaCharlie はエンドポイントから EVTX ファイルを収集できますか？
はい、センサーから収集されたアーティファクトとして、また Windows イベントログは WEL イベントとしてもストリーミングされます。
古いインタラクティブなクエリ モードはありますか?
はい。以前の CLI バージョンには set_output および set_format json を備えたインタラクティブな limacharlie クエリシェルがありました。search run コマンドはスクリプト化可能なルートです。
