So exportieren Sie Sumo Logic-Protokolle

Führen Sie Ihre Suche über die Search Job API von Sumo Logic aus: Erstellen Sie einen Job, warten Sie, bis er alle Ergebnisse gesammelt hat, und blättern Sie dann durch die Nachrichten. Jede Nachricht enthält die ursprüngliche Protokollzeile in _raw. Der Nachrichten-Tab in der Benutzeroberfläche kann ebenfalls Ergebnisse exportieren, aber nicht in einem Format, das LogTotal heute lesen kann.

Sumo Logic ist eine gängige Cloud-SIEM- und Protokollplattform und ein natürlicher Ort, um ein Untersuchungsstück zu extrahieren. Prime Core hat 23.391 Erkennungsregeln für Sumo Logic, die 664 MITRE ATT&CK-Techniken zugeordnet sind. Nachfolgend erfahren Sie, wie Sie rohe Protokolle exportieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie beginnen

Ein Zugangsschlüssel. Erstellen Sie eine Zugangs-ID und einen Schlüssel in Sumo Logic. Der Schlüssel fungiert mit den Berechtigungen Ihrer Rolle, daher muss die Rolle in der Lage sein, Suchen für die Daten auszuführen, die Sie wünschen.

Der richtige API-Endpunkt. Sumo Logic betreibt mehrere Bereitstellungen, und jede verfügt über ihren eigenen API-Host: api.sumologic.com für US1, api.us2.sumologic.com, api.eu.sumologic.com und so weiter. Stimmt es mit der URL überein, die Sie zum Einloggen verwenden? Eine falsche Bereitstellung gibt Ihnen eine 401, die wie ein fehlerhafter Schlüssel aussieht.

Cookies. Die Search Job API benötigt Cookies, die zwischen den Aufrufen gespeichert werden, da ein Job auf einem spezifischen Backend-Knoten lebt. Ohne eine Cookie-Jar können Folgeaufrufe den Job nicht finden.

Grenzen. Ein Job gibt eine begrenzte Anzahl von Nachrichten zurück, und jede Seite kann bis zu 10.000 umfassen. Halten Sie die Zeitfenster eng.

Exportieren mit der Search Job API

API="https://api.sumologic.com/api/v1"
AUTH="$SUMO_ACCESS_ID:$SUMO_ACCESS_KEY"
JAR=$(mktemp)

# 1. Erstellen Sie den Suchjob
JOB=$(curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" -H 'Content-Type: application/json' 
  -X POST "$API/search/jobs" -d '{
    "query": "_sourceCategory=linux/secure _sourceHost=web-03",
    "from": "2026-10-19T00:00:00", "to": "2026-10-20T00:00:00",
    "timeZone": "UTC"
  }' | jq -r '.id')

# 2. Warten, bis alle Ergebnisse gesammelt sind
until curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB" 
      | jq -e '.state == "DONE GATHERING RESULTS"' >/dev/null; do sleep 5; done

# 3. Durchblättern der Nachrichten, Beibehalten der rohen Zeilen
COUNT=$(curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB" | jq '.messageCount')
for ((off=0; off<COUNT; off+=10000)); do
  curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB/messages?offset=$off&limit=10000" 
    | jq -r '.messages[].map._raw'
done > web-03_sumo_1019.log

# 4. Aufräumen
curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" -X DELETE "$API/search/jobs/$JOB" >/dev/null

Halten Sie die Abfrage auf einen einfachen Filter. Abfragen mit Aggregatoperatoren geben Datensätze zurück, keine Nachrichten, und Datensätze enthalten kein _raw. Für strukturierten Output schreiben Sie jq -c ‚.messages[].map‘ stattdessen, was ein JSON-Objekt pro Zeile mit allen Feldern gibt.

Wenn ein Job abgebrochen wird, endet die Warteschleife nie. Fügen Sie eine Überprüfung auf CANCELLED hinzu, wenn Sie dies für die regelmäßige Nutzung skripten.

Hochladen, bereinigen und überprüfen in LogTotal

1. Hochladen. Öffnen logtotal.com und Datei ablegen.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schief läuft