So exportieren Sie Sekoia-Logs

Verwenden Sie die Sekoia.io-Ereignissuch-API in drei Schritten. Erstellen Sie einen Suchauftrag (POST /v1/sic/conf/events/search/jobs) mit einem Suchbegriff und einem Zeitfenster, warten Sie, bis der Auftrag abgeschlossen ist, und lesen Sie dann die Ereignisse in Seiten von bis zu 1.000. Der Ereignisse exportieren Button auf der Ereignisse-Seite funktioniert auch, stoppt jedoch bei 500 Ereignissen. Für große Volumen bietet Sekoia eine Massendatenexport-API und das eigene sekoia-event-exporter-Tool.

Sekoia.io ist eine europäische SOC-Plattform, und der Ereignisspeicher ist oft der erste Anlaufpunkt für dessen Nutzer während einer Untersuchung. Prime Core hat 23.983 Erkennungsregeln, die auf 676 MITRE ATT&CK-Techniken abgebildet sind. Unten finden Sie, wie Sie Ereignisse extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie anfangen

Ein API-Schlüssel. Erstellen Sie einen in Sekoia.io mit Berechtigung zur Suche von Ereignissen. Nur-Lesezugriff reicht für die Suche; der Massendatenexport benötigt die SIC_MASSIVE_EXPORT_EVENTS-Berechtigung.

Der API-Host Ihrer Region. Der Standard ist https://api.sekoia.io. Andere Regionen haben ihre eigenen Hosts, zum Beispiel https://api.usa1.sekoia.io.

Abfragesprache. Die API akzeptiert die gleichen Abfragen wie die Ereignisse-Seite. Die untenstehenden Beispiele verwenden die klassische „Dork“-Syntax (term_lang: dork). Bauen und testen Sie die Abfrage zuerst in der Benutzeroberfläche.

Exportieren mit der Ereignissuch-API

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. den Suchauftrag erstellen
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. warten, bis der Auftrag abgeschlossen ist (Status 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. die Ereignisse lesen, jeweils 1.000 auf einmal
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Die Ereignisse kommen zuerst mit den neuesten zurück. Ein Auftrag, der fehlschlägt, erreicht nie den Status 2, daher fügen Sie eine Zeitüberschreitung hinzu, wenn Sie das für die regelmäßige Verwendung skripten.

Für große Exporte, starten Sie den Massendatenexport bei einem abgeschlossenen Auftrag (POST /v1/sic/conf/events/search/jobs//export), warten Sie auf die Aufgabe und rufen Sie dann den Download-Link ab. Das sekoia-event-exporter-Paket auf PyPI umfasst diesen Workflow.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab. 
2. Bereinigen. 
3. Überprüfen. 

Wenn etwas schiefgeht