Wie man Cortex XDR-Protokolle exportiert

Verwenden Sie die XQL-Abfrage-APIs. Starten Sie eine Abfrage mit /public_api/v1/xql/start_xql_query, die eine Ausführungs-ID zurückgibt. Holen Sie die Ergebnisse mit /public_api/v1/xql/get_query_results im JSON-Format ab. Dieser Aufruf gibt bis zu 1.000 Ergebnisse inline zurück; alles Größere kommt als Stream-ID zurück, die Sie an /public_api/v1/xql/get_query_results_stream übergeben. Die Authentifizierung verwendet zwei Header: Ihren API-Schlüssel in Authorization und seine ID in x-xdr-auth-id.

Cortex XDR sammelt detaillierte Endpoint-Telemetriedaten sowie Netzwerk- und Identitätsdaten in vielen Implementierungen. Prime Core hat mehr als 24.000 einzigartige Erkennungsregeln, abgebildet auf 676 MITRE ATT&CK-Techniken. Im Folgenden erfahren Sie, wie Sie Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie anfangen

Ein API-Schlüssel. Erstellen Sie einen in den Cortex XDR-Einstellungen (der Standard-Schlüsseltyp ist am einfachsten) mit einer Rolle, die XQL-Abfragen ausführen kann. Beachten Sie den Schlüssel und seine ID.

Ihre API-URL. Sie wird bei der Erstellung des Schlüssels angezeigt, in der Form https://api-<tenant>.xdr.<region>.paloaltonetworks.com.

Lizenz und Kontingent. Die XQL-APIs benötigen eine Cortex XDR Pro-Lizenz. Abfragen greifen auf Ihr XQL-Kontingent zu, und Sie können bis zu vier API-Abfragen gleichzeitig ausführen.

Der Datensatz. Endpoint-Telemetrie befindet sich in xdr_data, mit Feldern wie agent_hostname, event_type, action_process_image_command_line und actor_process_image_name. Erstellen Sie die Abfrage zuerst im Query Builder.

Export mit den XQL-APIs

XDR="https://api-<tenant>.xdr.<region>.paloaltonetworks.com"
H1="Authorization: $XDR_API_KEY"
H2="x-xdr-auth-id: $XDR_API_KEY_ID"

# 1. starten Sie die Abfrage (Zeitrahmen in Epoch-Millisekunden)
QID=$(curl -sS -X POST "$XDR/public_api/v1/xql/start_xql_query" -H "$H1" -H "$H2" -H 'Content-Type: application/json' 
  -d '{"request_data": {"query": "dataset = xdr_data | filter agent_hostname = "WS-042" | fields _time, agent_hostname, event_type, action_process_image_name, action_process_image_command_line, actor_process_image_name", "timeframe": {"from": 1792368000000, "to": 1792454400000}}}' 
| jq -r '.reply')

# 2. auf die Ergebnisse warten
while :; do
RESP=$(curl -sS -X POST "$XDR/public_api/v1/xql/get_query_results" -H "$H1" -H "$H2" -H 'Content-Type: application/json' 
-d "{"request_data": {"query_id": "$QID", "pending_flag": true, "format": "json"}}")
[ "$(echo "$RESP" | jq -r '.reply.status')" != "PENDING" ] && break
sleep 5
done

# 3. bis zu 1.000 Ergebnisse inline; mehr über den Stream
STREAM=$(echo "$RESP" | jq -r '.reply.results.stream_id // empty')
if [ -n "$STREAM" ]; then
curl -sS -X POST "$XDR/public_api/v1/xql/get_query_results_stream" -H "$H1" -H "$H2" -H 'Content-Type: application/json' 
-d "{"request_data": {"stream_id": "$STREAM", "is_gzip_compressed": false}}" > xdr_ws042_1019.jsonl
else
echo "$RESP" | jq -c '.reply.results.data[]' > xdr_ws042_1019.jsonl
fi

Der oben gezeigte Zeitraum ist der 19.10.2026 00:00 UTC bis 20.10.2026 00:00 UTC.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und laden Sie die Datei hoch.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schiefgeht