フォローする Cortex XSIAMはCortex XDRと同じXQLクエリアPIを使用します：クエリを開始し、結果を待ち、1,000行を超える場合はストリームを使用します。異なるのはデータです。サードパーティのログは生のデータセットに入り、通常は__rawと名付けられ、元のログ行は_raw_logフィールドにあります。そのフィールドを選択すると、エクスポートはソースが送信したものを正確に返します。
XSIAMはPalo Alto NetworksのSOCプラットフォームで、多くの元QRadar SaaS顧客が2024年の取引後にここに移行しました。Prime Coreには676のMITRE ATT&CK技術にマッピングされた24,000以上のユニークな検出ルールがあります。以下はデータを取得し、それをクリーンアップしてLogTotalで無料で調査する方法です。
始める前に
APIキーとURL。 XQLクエリを実行できる役割のキーを作成し、そのキー、IDおよびそれに表示されるAPI URLに注意してください。
データセットを見つける。 クエリビルダーでデータセットをリスト（データセット=サジェストが表示）します。生のサードパーティデータは__rawパターンに従います。例えば、fortinet_fortigate_rawです。エンドポイントのテレメトリはxdr_dataにあります。
ホットとコールドストレージ。 最近のデータはホットストレージにあり、即座にクエリを実行します。古いデータはコールドストレージにあり、別のクエリアプローチが必要で、より多くのクォータを消費します。
XQL APIを使用してエクスポート
FortiGateデータセットから生の行を取得するには：
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Cortex XDRガイドのように、start_xql_queryおよびget_query_results（1,000行以上の場合はget_query_results_stream）を通じて実行します。その後、JSONを生の行に変換します：
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
ソース全体の標準化されたデータには、代わりにデータモデル（XDM）をクエリします。同一のフィールド名が得られますが、元の表現は得られません。
LogTotalでアップロード、クリーンアップ、レビュー
- アップロード。 開く logtotal.com にファイルをドロップします：_raw_logからの生の行、またはJSON行です。
- クリーンアップ。
- レビュー。
問題が発生した場合
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| データセットが見つかりません | テナント内の名前が異なります | クエリビルダーでデータセットをリストする |
| _raw_logが空です | ソースが構造化データとして取り込まれました | 解析されたフィールドをエクスポートする |
| ちょうど1,000結果 | ストリームが使用されていない | get_query_results_streamを使用する |
| クォータエラー | XQLクォータが使用されているか、コールドストレージクエリ | ウィンドウを狭め、クォータを確認する |
| 古いデータが見つかりません | コールドストレージにあります | コールドストレージをクエリするか、復元する |
FAQ
RawまたはXDM？
LogTotalの場合はRaw（_raw_log）を使用します。ソース自身のフォーマットを保持するためです。多くのソースにわたって同じフィールドを必要とする場合はXDMを使用します。
QRadar SaaSから移行しました。私の古いデータはここにありますか？
それは移行に依存します。どのデータセットが移行履歴を保持しているか確認してください。
