Folgen Installieren Sie das LimaCharlie CLI (pip install limacharlie), melden Sie sich mit Ihrer Organisations-ID und einem API-Schlüssel an und führen Sie eine LCQL-Abfrage mit limacharlie search run für den benötigten Zeitraum mit JSON-Ausgabe aus. Ereignisse werden in LimaCharlies {routing, event}-Struktur zurückgegeben. Für kontinuierlichen, massenhaften Export konfigurieren Sie ein Output zu S3, Google Cloud Storage oder zu einem anderen Ziel.
LimaCharlie bewahrt standardmäßig ein Jahr Telemetriedaten in seinem Insight Data Lake auf, was rückblickende Untersuchungen außergewöhnlich praktikabel macht. Prime Core verfügt über mehr als 24.000 einzigartige Erkennungsregeln, die 676 MITRE ATT&CK-Techniken zugeordnet sind. Im Folgenden wird beschrieben, wie Ereignisse exportiert, bereinigt und kostenlos in LogTotal untersucht werden können.
Bevor Sie beginnen
Ein API-Schlüssel und Ihre OID. Beides finden Sie in der Web-App unter Zugriffsverwaltung → REST API. Geben Sie dem Schlüssel die für die Abfrage von Insight erforderlichen Berechtigungen.
Abfragen kosten Geld. LCQL-Abfragen werden nach den gescannten Daten abgerechnet. Trockendruchläufe geben Ihnen zuerst eine Schätzung. Grenzen Sie zunächst nach Plattform, Ereignistyp und Host ein, bevor Sie den Zeitraum erweitern.
Verstehen Sie die Ereignistypen. LimaCharlie benennt Ereignisse nach Typ: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (Windows-Ereignisprotokolle) und so weiter. Wählen Sie die aus, die für Ihre Fragestellung relevant sind.
Exportieren mit dem CLI
pip install limacharlie
limacharlie auth login # fragt nach Ihrer OID und Ihrem API-Schlüssel
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Eine LCQL-Abfrage hat Teile, die durch Pipes getrennt sind: einen Sensor-Selektor (plat == windows), die Ereignistypen, einen Filter und optional eine Projektion von Feldern. Wenn die Ausgabe ein Array ist, glätten Sie es mit jq -c ‚.[]‘.
Das CLI kann auch eine LCQL-Abfrage aus einer einfachen sprachlichen Beschreibung generieren (limacharlie ai generate-query), was hilft, wenn Sie sich nicht an die Feldpfade erinnern.
Massenexport: Outputs
Für einen kontinuierlichen Export fügen Sie ein Output in der Web-App hinzu, das Ereignisse (und Erkennungen oder Audit-Protokolle, wenn Sie diese wünschen) zu S3, Google Cloud Storage, einem SIEM oder einem Webhook sendet. Outputs senden Daten ab dem Moment der Erstellung. Für Verlaufsdaten, durchsuchen Sie Insight wie oben beschrieben.
Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen logtotal.com und laden Sie die Datei hoch.
- Bereinigen.
- Überprüfen.
Wenn es nicht funktioniert
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Authentifizierungsfehler | Falsche OID oder Schlüssel, oder fehlende Berechtigungen | Erstellen Sie den Schlüssel mit Abfrageberechtigungen neu |
| Abfrage ist langsam oder teuer | Zu weit gefasst: alle Ereignisse, alle Sensoren | Fügen Sie einen Sensor-Selektor und Ereignistypen hinzu |
| Keine Ergebnisse | Hostname im falschen Feld oder falscher Ereignistyp | Überprüfen Sie zuerst die Feldpfade mit einer kleinen Abfrage |
| Nichts älter als ein Jahr | Insight Aufbewahrung | Verwenden Sie Ihr Output-Ziel für ältere Daten |
FAQ
Kann LimaCharlie EVTX-Dateien von einem Endpunkt erfassen?
Ja, als von den Sensoren gesammelte Artefakte, und Windows-Ereignisprotokolle werden auch als WEL-Ereignisse gestreamt.
Gibt es einen älteren interaktiven Abfragemodus?
Ja. Frühere CLI-Versionen hatten eine interaktive limacharlie Abfrageshell mit set_output und set_format json. Der search run-Befehl ist der skriptfähige Weg.
