Folgen Cortex XSIAM verwendet dieselben XQL-Query-APIs wie Cortex XDR: eine Abfrage starten, auf Ergebnisse warten und einen Stream für alles über 1.000 Zeilen verwenden. Der Unterschied liegt in den Daten. Protokolle von Drittanbietern landen in Rohdatensätzen, die meistens <vendor>_<product>_raw genannt werden, und die ursprüngliche Protokollzeile befindet sich im Feld _raw_log. Wählen Sie dieses Feld aus, und der Export gibt Ihnen genau das zurück, was die Quelle gesendet hat.
XSIAM ist die SOC-Plattform von Palo Alto Networks und es ist der Ort, an dem viele ehemalige QRadar SaaS-Kunden nach dem Deal 2024 gelandet sind. Prime Core hat mehr als 24.000 einzigartige Erkennungsregeln, die auf 676 MITRE ATT&CK-Techniken abgebildet sind. Unten erfahren Sie, wie Sie Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.
Bevor Sie beginnen
Ein API-Schlüssel und eine URL. Erstellen Sie einen Schlüssel mit einer Rolle, die XQL-Abfragen ausführen kann; notieren Sie den Schlüssel, seine ID und die damit angezeigte API-URL.
Finden Sie den Datensatz. Listen Sie im Query Builder Datensätze auf (dataset = bietet Vorschläge). Rohdaten von Drittanbietern folgen dem Muster <vendor>_<product>_raw, z. B. fortinet_fortigate_raw. Endpunkt-Telemetrie befindet sich in xdr_data.
Heiß- und Kalt-Speicher. Aktuelle Daten befinden sich im Heißspeicher und werden schnell abgefragt. Ältere Daten können im Kalt-Speicher sein, was einen eigenen Abfrageansatz erfordert und mehr Kontingent kostet.
Exportieren mit den XQL-APIs
Um Rohzeilen aus einem FortiGate-Datensatz zu erhalten:
dataset = fortinet_fortigate_raw
| filter _raw_log enthält "web-03"
| fields _time, _raw_log
Führen Sie es durch start_xql_query und get_query_results (plus get_query_results_stream über 1.000 Zeilen), wie im Cortex XDR-Leitfaden. Wandeln Sie dann das JSON in Rohzeilen um:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Für normalisierte Daten aus verschiedenen Quellen fragen Sie stattdessen das Datenmodell (XDM) ab. Sie erhalten konsistente Feldnamen, aber nicht die originale Wortwahl.
Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen logtotal.com und legen Sie die Datei ab: rohen Zeilen aus _raw_log oder die JSON-Zeilen.
- Bereinigen.
- Überprüfen.
Wenn es schief läuft
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Datensatz nicht gefunden | Name unterscheidet sich in Ihrem Mandanten | Listen Sie im Query Builder Datensätze auf |
| _raw_log ist leer | Die Quelle wurde als strukturierte Daten aufgenommen | Exportieren Sie stattdessen die geparsten Felder |
| Genau 1.000 Ergebnisse | Stream nicht verwendet | Verwenden Sie get_query_results_stream |
| Konto-Fehler | XQL-Kontingent verwendet oder Anfragen an den Kaltspeicher | Reduzieren Sie das Fenster; überprüfen Sie das Kontingent |
| Alte Daten fehlen | Sie sind im Kaltspeicher | Fragen Sie den Kaltspeicher ab oder stellen Sie ihn wieder her |
FAQ
Roh oder XDM?
Roh (_raw_log) für LogTotal, da es das Format der Quelle beibehält. XDM, wenn Sie dieselben Felder über viele Quellen hinweg benötigen.
Ich bin von QRadar SaaS umgezogen. Sind meine alten Daten hier?
Das hängt von Ihrer Migration ab. Überprüfen Sie, welche Datensätze die migrierte Historie enthalten.
