Seguir Cortex XSIAM utiliza las mismas API de consulta XQL que Cortex XDR: iniciar una consulta, esperar resultados y usar un flujo para cualquier cosa que supere las 1,000 filas. Lo que es diferente son los datos. Los registros de terceros aterrizan en conjuntos de datos sin procesar, usualmente nombrados <vendor>_<product>_raw, y la línea de registro original se encuentra en el campo _raw_log. Seleccione ese campo, y la exportación le devuelve exactamente lo que la fuente envió.
XSIAM es la plataforma SOC de Palo Alto Networks, y es donde muchos ex clientes de QRadar SaaS terminaron después del acuerdo de 2024. Prime Core tiene más de 24,000 reglas de detección únicas, mapeadas a 676 técnicas de MITRE ATT&CK. A continuación se muestra cómo extraer datos, sanitizarlos e investigarlos de forma gratuita en LogTotal.
Antes de comenzar
Una clave de API y URL. Cree una clave con un rol que pueda ejecutar consultas XQL; anote la clave, su ID y la URL de la API que se muestra con ella.
Encuentra el conjunto de datos. En el Generador de Consultas, liste los conjuntos de datos (dataset = ofrece sugerencias). Los datos de terceros en bruto siguen el patrón <vendor>_<product>_raw, por ejemplo fortinet_fortigate_raw. La telemetría del endpoint está en xdr_data.
Almacenamiento en caliente y frío. Los datos recientes están en almacenamiento en caliente y las consultas son rápidas. Los datos más antiguos pueden estar en almacenamiento en frío, lo cual requiere su propio enfoque de consulta y consume más cuota.
Exportar con las API de XQL
Para obtener líneas en bruto de un conjunto de datos de FortiGate:
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Ejecutarlo a través de start_xql_query y get_query_results (más get_query_results_stream por encima de 1,000 filas), como en la guía de Cortex XDR. Luego convierta el JSON en líneas en bruto:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Para datos normalizados de diferentes fuentes, consulte el modelo de datos (XDM) en su lugar. Obtendrá nombres de campo consistentes, pero no el texto original.
Subir, sanitizar y revisar en LogTotal
- Subir. Abrir logtotal.com y soltar el archivo: líneas en bruto de _raw_log, o las filas JSON.
- Sanitizar.
- Revisar.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Conjunto de datos no encontrado | El nombre difiere en su inquilino | Liste los conjuntos de datos en el Generador de Consultas |
| _raw_log está vacío | La fuente fue ingerida como datos estructurados | Exportar los campos analizados en su lugar |
| Exactamente 1,000 resultados | Flujo no usado | Use get_query_results_stream |
| Errores de cuota | Cuota de XQL utilizada, o consultas de almacenamiento en frío | Reduzca la ventana; verifique la cuota |
| Datos antiguos faltantes | Está en almacenamiento en frío | Consultar almacenamiento en frío, o restaurarlo |
FAQ
¿Original o XDM?
Original (_raw_log) para LogTotal, porque conserva el formato propio de la fuente. XDM cuando necesita los mismos campos en múltiples fuentes.
Me mudé de QRadar SaaS. ¿Mis datos antiguos están aquí?
Eso depende de su migración. Verifique qué conjuntos de datos contienen el historial migrado.
