Стежити Встановіть LimaCharlie CLI (pip install limacharlie), увійдіть за допомогою ідентифікатора вашої організації та ключа API, і запустіть запит LCQL з limacharlie search run для потрібного діапазону часу з виходом у форматі JSON. Події повертаються у структурі {routing, event} LimaCharlie. Для безперервного масового експорту налаштуйте виведення в S3, Google Cloud Storage або інший пункт призначення.
LimaCharlie зберігає телеметрію протягом року в своїй Insight data lake за замовчуванням, що робить ретроспективне розслідування особливо практичним. Prime Core має понад 24 000 унікальних правил виявлення, які відповідають 676 технікам MITRE ATT&CK. Нижче описано, як отримати події, очистити їх і безкоштовно розслідувати в LogTotal.
Перед початком
Ключ API та ваш OID. Обидва знаходяться у веб-додатку в розділі Управління доступом → REST API. Надайте ключу необхідні дозволи для запитів Insight.
Запити коштують грошей. Запити LCQL тарифікуються за обсяг даних, які вони сканують. Тестові запуски спочатку дають вам оцінку. Звужте за платформою, типом події та хостом, перш ніж розширити діапазон часу.
Знайте типи подій. LimaCharlie називає події за типом: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (Журнали подій Windows) і так далі. Виберіть ті, що важливі для вашого запитання.
Експорт через CLI
pip install limacharlie
limacharlie auth login # запитує ваш OID і ключ API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Запит LCQL має частини, розділені трубами: вибір датчика (plat == windows), типи подій, фільтр і, за бажанням, проекцію полів. Якщо вихід — масив, спростіть його за допомогою jq -c ‘.[]’.
CLI також може згенерувати запит LCQL із звичайного опису (limacharlie ai generate-query), що допомагає, коли ви не пам’ятаєте шляхів до полів.
Масовий: Виходи
Для постійного експорту додайте Вихід у веб-додатку, що надсилає події (та виявлення або аудиторські журнали, якщо бажаєте) до S3, Google Cloud Storage, SIEM або webhook. Виходи починають надсилати дані з моменту створення. Для історії виконайте запит Insight, як зазначено вище.
Завантаження, очищення та перегляд у LogTotal
- Завантажте. Відкрийте logtotal.com і перетягніть файл.
- Очистьте.
- Перегляньте.
Коли щось йде не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Помилки автентифікації | Неправильний OID або ключ, або відсутні дозволи | Пересоздайте ключ з дозволами на запит |
| Запит повільний або дорогий | Занадто широкий: всі події, всі датчики | Додайте вибір датчика та типи подій |
| Немає результатів | Ім’я хоста у неправильному полі або неправильний тип події | Спершу перевірте шляхи до полів малим запитом |
| Нічого старше року | Зберігання Insight | Використовуйте ваш пункт виводу для старіших даних |
FAQ
Чи може LimaCharlie збирати файли EVTX з кінцевої точки?
Так, як артефакти, зібрані з датчика, а журнали подій Windows також транслюються як WEL події.
Чи є старіший інтерактивний режим запитів?
Так. Раніші версії CLI мали інтерактивну оболонку запиту limacharlie з set_output і set_format json. Команда search run є скриптованою.
