Folgen Jedes SIEM kann seine Daten in einer von zwei Formen zurückgeben: die originalen rohen Ereignisse oder sein eigenes geparstes JSON. Zur Analyse außerhalb des SIEMs sind rohe Ereignisse fast immer die bessere Wahl. Exportieren Sie sie für ein enges Zeitfenster über die API oder CLI, nicht über den Browser. Die Tabelle unten zeigt den besten Weg für jede große Plattform mit einem Link zum vollständigen Leitfaden.
Warum die Daten überhaupt aus einem SIEM herausnehmen? Für eine zweite Meinung, zum Teilen mit einem IR-Partner, der keinen Zugang hat, oder um Erkennungslogik auszuführen, die Ihr SIEM nicht hat. Prime Core hat 1M Erkennungsregeln auf diesen Plattformen, abgebildet auf 676 MITRE ATT&CK-Techniken, und LogTotal führt sie kostenlos gegen eine Datei aus.
Plattform für Plattform
| Plattform | Bester Exportroute | Was Sie erhalten | Vollständiger Leitfaden |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata oder REST search/v2/jobs/export mit output_mode=raw | Originale Rohzeilen | [Splunk] |
| IBM QRadar | Ariel REST API mit UTF8(payload) | Originale Payloads | [QRadar] |
| OpenSearch | opensearch-py helpers.scan oder _search mit PIT | JSON-Dokumente; rohe Zeile, wenn im Nachrichtenfeld beibehalten | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT mit search_after oder ES|QL (bis zu 10.000 Zeilen) | JSON-Dokumente; rohe Zeile in event.original, wenn erhalten | [Elastic] |
| CrowdStrike Falcon | Erweiterte Ereignissuche-Export oder Falcon-Datenreplikator | Falcon-Telemetrie als JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Ein JSON-Objekt pro Zeile | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Erweiterte Jagdzeilen als JSON | [Defender XDR] |
| Google SecOps | UDM-Such-API oder Datenexport-API zu Cloud Storage | UDM JSON oder originale rohe Logs | [Google SecOps] |
Sechs Regeln, die überall gelten
- Ereignisse exportieren, nicht Zusammenfassungen. Alles, was mit stats, summarize, table oder einer Aggregation endet, ist ein Bericht, keine Logs.
- Zuerst einschränken. Host, Quelle, Ereignistyp, Zeitfenster. Zählen Sie, bevor Sie ziehen; die meisten Plattformen zeigen die Zahl in der UI.
- Verwenden Sie die API oder CLI für alles über ein paar tausend Ereignisse. Browser-Exporte laufen ab, führen Suchen erneut aus oder beschränken stillschweigend die Zeilenanzahl.
- Achten Sie auf die Berechtigungsgrenze. API-Token sehen oft weniger als Ihre UI-Sitzung: QRadar-Sicherheitsprofile, Splunk-Rollen, Graph-Bereiche. Wenn Zahlen nicht übereinstimmen, prüfen Sie zuerst das Token.
- Fixieren Sie die Zeitzone. Verwenden Sie absolute Fenster in UTC oder mit einem expliziten Offset. Relative Fenster („letzte 24 Stunden“) driften, wenn eine Suche erneut ausgeführt wird.
- Entpacken Sie den Umschlag. Viele APIs verpacken jedes Ereignis: ein JSON-String in CloudTrailEvent, ein Records-Array, ein Ergebnis-Schlüssel, eine CloudWatch-Nachricht. Flachen Sie mit jq auf ein Ereignis pro Zeile ab, bevor Sie hochladen.
Was ein SIEM Ihnen nicht zurückgeben kann
- Originale Binärdateien. Kein SIEM gibt Windows EVTX-Dateien zurück; Sie erhalten gerenderten Text oder JSON. Für EVTX gehen Sie zum Host.
- Daten über die Aufbewahrung hinaus. Sobald sie gealtert oder in eine Archivstufe verschoben wurden, die eine Wiederherstellung benötigt, wird eine normale Suche sie nicht finden.
- Felder, die beim Ingest fallen gelassen wurden. Wenn die Pipeline die rohe Zeile oder ein Feld verworfen hat, ist es weg. Überprüfen Sie, bevor Sie einem Analysten etwas versprechen.
Hochladen, säubern und in LogTotal überprüfen
LogTotal liest syslog-ähnlichen Text, JSON und EVTX. Text- und JSON-Uploads gehen vor der Analyse durch den Reinigungsprozess.
- Hochladen. Öffnen logtotal.com und legen Sie Ihren Export ab.
- Reinigen.
- Überprüfen.
FAQ
Mein SIEM ist nicht in der Tabelle. Funktioniert das trotzdem?
Ja. Die oben genannten Regeln gelten für jede Plattform: Finden Sie den API- oder CLI-Weg, exportieren Sie rohe Ereignisse für ein enges Fenster und flachen Sie JSON auf ein Ereignis pro Zeile ab. Wir fügen Leitfäden für die restlichen 65+ Plattformen hinzu, die SOC Prime unterstützt.
Warum nicht einfach im SIEM analysieren?
Oft sollten Sie das. Eine dateibasierte Überprüfung ist für den Fall, wenn Sie ein zweites Set an Erkennungen möchten, Daten mit jemandem außerhalb teilen müssen oder testen möchten, was Ihr SIEM möglicherweise verpasst.
