So exportieren Sie LogPoint-Protokolle

Verwenden Sie die Search API von LogPoint, die in zwei Aufrufen auf denselben Endpunkt /getsearchlogs funktioniert. Der erste Aufruf sendet Ihre Abfrage, den Zeitbereich und die Repos und gibt eine search_id zurück. Der zweite Aufruf sendet diese search_id und liefert die Zeilen aus, sobald die Suche abgeschlossen ist. Beide Aufrufe sind formkodierte POSTs, die mit Ihrem Benutzernamen und Ihrem geheimen Schlüssel authentifiziert werden.

LogPoint ist ein beliebtes SIEM in Europa, und die Search API ist der sauberste Weg, um einen definierten Ausschnitt seiner Daten zu extrahieren. Prime Core hat 19.598 Erkennungsregeln für LogPoint, die 664 MITRE ATT&CK-Techniken zugeordnet sind. Im Folgenden wird erklärt, wie Sie Logs extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Bevor Sie beginnen

Ihr geheimer Schlüssel. Jeder API-Aufruf enthält Ihren LogPoint-Benutzernamen und geheimen Schlüssel. Sie finden den Schlüssel in den Zugangsschlüsseleinstellungen Ihres Benutzerprofils. Behandeln Sie ihn wie ein Passwort.

Repo-Namen. Suchvorgänge werden gegen Repos ausgeführt, die als <ip>:5504/<repo> geschrieben werden, zum Beispiel 127.0.0.1:5504/_logpoint. Die gleiche Endpunktfamilie listet sie Ihnen auf (getalloweddata mit Typ logpoint_repos).

Zeitraum. time_range nimmt entweder eine Voreinstellung wie „Letzte 24 Stunden“ oder einen Paar von Epoche-Sekunden. Für Vorfallarbeiten verwenden Sie das Epochenpaar; date -d ‚2026-10-19T00:00:00Z‘ +%s berechnet es.

Exportieren mit der Search API

LP="https://logpoint.example.com"

# 1. Suche starten (2026-10-19 00:00 UTC bis 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. Ergebnisse abrufen, bis die Suche abgeschlossen ist
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Halten Sie die Abfrage als Filter. Eine Abfrage mit | chart oder anderen Aggregationen liefert aggregierte Zeilen, keine Logs. Das Roh-Log befindet sich normalerweise im msg-Feld.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab.
2. Bereinigen.
3. Überprüfen.

So sieht das bei echten Daten aus.

Wenn es schiefgeht