Segui Cortex XSIAM utilizza le stesse API di query XQL di Cortex XDR: avvia una query, attendi i risultati e utilizza uno stream per qualsiasi risultato superiore a 1.000 righe. La differenza è nei dati. I log di terze parti arrivano in set di dati grezzi, solitamente denominati <vendor>_<product>_raw, e la linea di log originale si trova nel campo _raw_log. Seleziona quel campo e l’esportazione ti restituisce esattamente ciò che ha inviato la fonte.
XSIAM è la piattaforma SOC di Palo Alto Networks, ed è dove molti ex clienti QRadar SaaS sono finiti dopo l’accordo del 2024. Prime Core ha più di 24.000 regole di rilevamento uniche, mappate su 676 tecniche MITRE ATT&CK. Di seguito come estrarre i dati, sanificarli e indagarli gratuitamente in LogTotal.
Prima di iniziare
Una chiave API e URL. Crea una chiave con un ruolo che può eseguire query XQL; annota la chiave, il suo ID e l’URL API visualizzato con esso.
Trova il set di dati. Nel Query Builder, elenca i set di dati (dataset = offre suggerimenti). I dati grezzi di terze parti seguono il pattern <vendor>_<product>_raw, ad esempio fortinet_fortigate_raw. La telemetria degli endpoint è in xdr_data.
Archiviazione calda e fredda. I dati recenti sono nell’archiviazione calda e le query sono rapide. I dati meno recenti potrebbero essere nell’archiviazione fredda, che necessita di un approccio di query specifico e costa più quota.
Esporta con le API XQL
Per ottenere linee grezze da un set di dati FortiGate:
dataset = fortinet_fortigate_raw
| filtro _raw_log contiene "web-03"
| campi _time, _raw_log
Eseguilo tramite start_xql_query e get_query_results (più get_query_results_stream per oltre 1.000 righe), come nella guida Cortex XDR. Quindi trasforma il JSON in linee grezze:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Per i dati normalizzati tra le fonti, esegui la query sul modello di dati (XDM) invece. Ottieni nomi di campo coerenti, ma non il testo originale.
Carica, sanifica e analizza in LogTotal
- Carica. Apri logtotal.com e trascina il file: linee grezze da _raw_log, o le righe JSON.
- Sanifica.
- Analizza.
Quando qualcosa va storto
| Sintomo | Causa probabile | Fix |
|---|---|---|
| Set di dati non trovato | Il nome differisce nel tuo tenant | Elenca i set di dati nel Query Builder |
| _raw_log è vuoto | La fonte è stata ingerita come dati strutturati | Esporta invece i campi analizzati |
| Esattamente 1.000 risultati | Stream non utilizzato | Usa get_query_results_stream |
| Errori di quota | Quota XQL usata, o query su archiviazione fredda | Restringi la finestra; controlla la quota |
| Dati vecchi mancanti | Sono nell’archiviazione fredda | Esegui la query su archiviazione fredda, o ripristinala |
FAQ
Grezi o XDM?
Grezi (_raw_log) per LogTotal, perché conserva il formato originale dalla fonte. XDM quando hai bisogno degli stessi campi da più fonti.
Sono passato da QRadar SaaS. I miei vecchi dati sono qui?
Dipende dalla tua migrazione. Controlla quali set di dati contengono la cronologia migrata.
