Śledź Cortex XSIAM używa tych samych interfejsów API zapytań XQL co Cortex XDR: rozpocznij zapytanie, poczekaj na wyniki i użyj strumienia dla czegoś powyżej 1,000 wierszy. Różnicą są dane. Logi z zewnętrznych źródeł trafiają do surowych zestawów danych, zazwyczaj nazywanych <vendor>_<product>_raw, a oryginalny wiersz logu znajduje się w polu _raw_log. Wybierz to pole, a eksport zwróci dokładnie to, co wysłało źródło.
XSIAM jest platformą SOC firmy Palo Alto Networks i to tam wielu byłych klientów QRadar SaaS trafiło po umowie z 2024 roku. Prime Core ma więcej niż 24,000 unikalnych reguł detekcji, mapowanych na 676 technik MITRE ATT&CK. Poniżej znajduje się sposób na wydobycie danych, ich sanitarne przetwarzanie i badanie za darmo w LogTotal.
Zanim zaczniesz
Klucz API i URL. Utwórz klucz z rolą, która może uruchamiać zapytania XQL; zanotuj klucz, jego ID i pokazany z nim URL API.
Znajdź zestaw danych. W Query Builder wymienić zestawy danych (dataset = oferta sugestii). Dane z zewnętrznych źródeł mają wzór <vendor>_<product>_raw, na przykład fortinet_fortigate_raw. Telemetria punktu końcowego znajduje się w xdr_data.
Pamięć na bieżąco i zimno. Niedawne dane znajdują się w pamięci na bieżąco i są szybkie do zapytań. Starsze dane mogą znajdować się w pamięci na zimno, co wymaga własnego podejścia do zapytań i kosztuje więcej z kontyngentu.
Eksport za pomocą interfejsów API XQL
Aby uzyskać surowe linie z zestawu danych FortiGate:
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Uruchom to za pomocą start_xql_query i get_query_results (plus get_query_results_stream powyżej 1,000 wierszy), jak w przewodniku Cortex XDR. Następnie zamień JSON na surowe linie:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Dla znormalizowanych danych ze wszystkich źródeł, zamiast tego zapytaj model danych (XDM). Otrzymujesz spójne nazwy pól, ale nie oryginalne sformułowania.
Przesyłanie, czyszczenie i przegląd w LogTotal
- Prześlij. Otwórz logtotal.com i wrzuć plik: surowe linie z _raw_log lub wiersze JSON.
- Czyszczenie.
- Recenzja.
Kiedy coś idzie nie tak
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Zestaw danych nie znaleziony | Nazwa różni się w Twoim dzierżawie | Wymień zestawy danych w Query Builder |
| _raw_log jest pusty | Źródło zostało załadowane jako dane strukturalne | Eksportuj pola sformatowane |
| Dokładnie 1,000 wyników | Strumień nie był używany | Użyj get_query_results_stream |
| Błędy kontyngentu | Wykorzystano kontyngent XQL lub zapytania do zimnej pamięci | Zmniejsz okno; sprawdź kontyngent |
| Brakuje starych danych | Są w zimnej pamięci | Zapytaj zimną pamięć lub przywróć ją |
FAQ
Surowe czy XDM?
Surowe (_raw_log) dla LogTotal, ponieważ zachowuje własny format źródła. XDM, gdy potrzebujesz tych samych pól z wielu źródeł.
Przeszedłem z QRadar SaaS. Czy moje stare dane są tutaj?
To zależy od twojej migracji. Sprawdź, które zestawy danych zawierają zmigrowaną historię.
