Segui Installa il CLI di LimaCharlie (pip install limacharlie), accedi con il tuo ID dell’organizzazione e una chiave API, ed esegui una query LCQL con limacharlie search run per l’intervallo di tempo di cui hai bisogno, con output in JSON. Gli eventi vengono restituiti nella struttura {routing, event} di LimaCharlie. Per un’esportazione continua e in massa, configura un Output su S3, Google Cloud Storage o un’altra destinazione.
LimaCharlie conserva un anno di telemetria nel suo data lake Insight di default, il che rende l’indagine a posteriori insolitamente pratica. Prime Core ha più di 24.000 regole di rilevamento uniche, mappate su 676 tecniche MITRE ATT&CK. Di seguito è spiegato come ottenere eventi, sanitizzarli e indagarli gratuitamente su LogTotal.
Prima di iniziare
Una chiave API e il tuo OID. Entrambi si trovano nell’app web sotto Gestione Accessi → REST API. Assegna alla chiave le autorizzazioni necessarie per interrogare Insight.
Le query costano. Le query LCQL vengono tariffate in base ai dati che scansionano. Le esecuzioni di prova ti forniscono una stima prima. Restringi per piattaforma, tipo di evento e host prima di ampliare l’intervallo di tempo.
Conosci i tipi di eventi. LimaCharlie nomina gli eventi per tipo: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (log degli eventi di Windows) e così via. Scegli quelli che contano per la tua domanda.
Esporta con il CLI
pip install limacharlie
limacharlie auth login # richiede il tuo OID e la chiave API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Una query LCQL ha parti separate da pipeline: un selettore di sensori (plat == windows), i tipi di eventi, un filtro e eventualmente una proiezione di campi. Se l’output è un array, appiattiscilo con jq -c ‘.[]’.
Il CLI può anche generare una query LCQL da una descrizione in linguaggio naturale (limacharlie ai generate-query), che aiuta quando non ricordi i percorsi dei campi.
In massa: Outputs
Per un’esportazione continua, aggiungi un Output nell’app web che invii eventi (e rilevamenti o log di audit, se desideri) a S3, Google Cloud Storage, un SIEM o un webhook. Gli Outputs inviano dati dal momento in cui sono creati. Per lo storico, interroga Insight come sopra.
Carica, sanitizza e analizza su LogTotal
- Carica. Apri logtotal.com e carica il file.
- Sanitizza.
- Analizza.
Quando qualcosa va storto
| Sintomo | Probabile causa | Fix |
|---|---|---|
| Errori di autenticazione | OID o chiave errata, o permessi mancanti | Ricrea la chiave con permessi di query |
| La query è lenta o costosa | Troppo ampia: tutti gli eventi, tutti i sensori | Aggiungi un selettore di sensori e tipi di eventi |
| Nessun risultato | Nome host nel campo sbagliato o tipo di evento errato | Verifica i percorsi dei campi con una piccola query prima |
| Niente di più vecchio di un anno | Conservazione di Insight | Usa la tua destinazione Output per i dati più vecchi |
FAQ
LimaCharlie può raccogliere file EVTX da un endpoint?
Sì, come artefatti raccolti dal sensore, e i log degli eventi di Windows arrivano anche come eventi WEL.
Esiste una modalità di query interattiva più vecchia?
Sì. Le versioni precedenti del CLI avevano una shell di query interattiva limacharlie con set_output e set_format json. Il comando search run è il percorso scriptabile.
