Folgen Senden Sie Ihre Abfrage an die LogScale-Abfrage-API, POST /api/v1/repositories/<repo>/query, und fordern Sie application/x-ndjson an: Sie erhalten ein Ereignis pro Zeile. Die ursprüngliche Protokollzeile befindet sich in @rawstring, sodass ein jq-Aufruf den Export wieder in Rohprotokolle umwandelt. Alternativ exportieren Sie Protokolle direkt aus der LogScale-Benutzeroberfläche als Klartext, JSON oder CSV.
LogScale (ehemals Humio) ist für die Suche in großen Protokollmengen ausgelegt, daher enthält es oft die vollständigste Aufzeichnung, die ein Team hat. Prime Core verfügt über 23.747 Erkennungsregeln für Falcon LogScale, die 674 MITRE ATT&CK-Techniken zugeordnet sind. Unten erfahren Sie, wie Sie Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.
Diese Anleitung umfasst eigenständiges LogScale, Cloud oder selbst gehostet. Wenn Sie LogScale in der Falcon-Konsole als Teil von Next-Gen SIEM verwenden, sind die Konsole und ihre APIs unterschiedlich.
Bevor Sie anfangen
Ein Token. Erstellen Sie ein API-Token mit der Berechtigung, das Repository abzufragen. Behandeln Sie es wie ein Passwort.
Basis-URL und Repository. Cloud-Kunden verwenden die URL ihrer Region, z.B. https://cloud.us.humio.com. Selbst gehostete Cluster verwenden ihren eigenen Hostnamen. Sie benötigen auch den Namen des Repositorys oder der Ansicht.
Aufbewahrung. Jedes Repository hat seine eigene Aufbewahrung. Überprüfen Sie es, bevor Sie jemandem eine Woche Historie versprechen.
Export mit der Abfrage-API
LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)
curl -sS "$LS/api/v1/repositories/security/query"
-H "Authorization: Bearer $LOGSCALE_TOKEN"
-H "Content-Type: application/json" -H "Accept: application/x-ndjson"
-d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}"
> logscale_web03_1019.ndjson
# nur rohe Zeilen
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log
Die Start- und Endwerte sind Epoch-Millisekunden; relative Werte wie „24h“ funktionieren ebenfalls. Die date -d Syntax ist GNU, daher berechnen Sie auf macOS die Zeitstempel auf andere Weise.
Halten Sie die Abfrage als Filter. Alles, was aggregiert (groupBy, count, timechart), gibt die Aggregate zurück, nicht die Ereignisse. Für sehr lange oder umfangreiche Suchvorgänge verwenden Sie die Query Jobs API, die die Suche asynchron ausführt und es Ihnen ermöglicht, die Ergebnisse abzufragen.
Exportieren Sie Protokolle über die Falcon LogScale-Suchoberfläche
Für schnelle Untersuchungen oder kleinere Protokollproben können Sie Ereignisse direkt aus der Falcon LogScale-Weboberfläche exportieren, ohne die API zu verwenden.
- Suche öffnen. Melden Sie sich bei Falcon LogScale an, wählen Sie das Repository oder die Ansicht, die Ihre Protokolle enthält, aus und öffnen Sie die Suchseite. Seite.
- Führen Sie eine Abfrage durch. Geben Sie einen Suchfilter ein, zum Beispiel host=web-03. Legen Sie den Zeitbereich fest und führen Sie die Suche aus.
- Überprüfen Sie die Ergebnisse. Stellen Sie sicher, dass die zurückgegebenen Ereignisse zu Ihren Anforderungen passen. Vermeiden Sie Aggregationsfunktionen wie groupBy(), count() oder timeChart(), wenn Sie einzelne Protokollereignisse benötigen.
- Exportieren Sie die Protokolle. Klicken Sie in den Suchergebnissen auf Speichern > Daten in Datei exportieren.
- Wählen Sie das Dateiformat.
- Klartext (.txt): Exportiert das Feld @rawstring und bewahrt die ursprünglichen Protokollzeilen. Am besten für LogTotal, wenn die Quelle Syslog-ähnlichen Text enthält.
- JSON (.json): Exportiert vollständige Ereignisobjekte, einschließlich geparster Felder und Metadaten. Am besten geeignet, wenn Sie strukturierte Ereignisse benötigen.
- CSV (.csv): Exportiert ausgewählte Felder in eine Tabelle. Nützlich für Berichte, aber weniger geeignet für LogTotal. Wählen Sie „Alle auswählen“ in „Zu exportierende Felder“.
- Herunterladen. Geben Sie einen Dateinamen ein und klicken Sie auf Export um die Datei lokal zu speichern.
Einschränkungen. Der Export von Klartext erfordert, dass der ursprüngliche Protokollinhalt in @rawstring verfügbar ist. Wenn dieses Feld fehlt, exportieren Sie stattdessen die vollständigen Ereignisse als JSON. Bei großen Datensätzen den Zeitbereich eingrenzen oder die Abfrage-API verwenden. Nicht aggregierte Such-Exporte können Ereignisse in anderer Reihenfolge als die UI-Ergebnisse enthalten.
Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen logtotal.com und ziehen Sie die Datei hinein.
- Bereinigen.
- Überprüfen.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| 401 oder 403 | Token fehlt, abgelaufen oder ohne Abfragerechte im Repository | Erstellen Sie ein Token mit Abfragerechten |
| Keine Ergebnisse | Falscher Repository-Name, oder Sekunden statt Millisekunden | Überprüfen Sie den Namen; verwenden Sie +%s000 |
| Aggregierte Zeilen statt Ereignisse | Die Abfrage aggregiert | Verwenden Sie einen einfachen Filter |
| @rawstring fehlt | Ein Parser hat es ersetzt, oder die Daten wurden als strukturiertes JSON aufgenommen | Exportieren Sie das gesamte Ereignis anstelle davon |
| Die Anfrage läuft ab | Zu viele Daten für eine synchrone Abfrage | Verengen Sie das Fenster oder verwenden Sie Abfragejobs |
FAQ
Ist LogScale dasselbe wie Falcon Next-Gen SIEM?
Next-Gen SIEM basiert auf LogScale-Technologie, lebt aber innerhalb der Falcon-Plattform mit eigener Konsole und APIs. Diese Anleitung ist für eigenständiges LogScale.
NDJSON oder roh?
Roh (@rawstring), wenn die Quelle Syslog-ähnlicher Text war. NDJSON, wenn die Ereignisse ursprünglich JSON waren, oder wenn Sie die geparsten Felder von LogScale benötigen.
