Wie man Datadog Cloud SIEM Logs exportiert

Cloud SIEM läuft über Datadog Log Management, daher bedeutet das Exportieren von „Cloud SIEM Logs“ das Exportieren der dahinterliegenden Logs. Verwenden Sie die Logs Search API, POST /api/v2/logs/events/search, mit einem API-Schlüssel und einem Anwendungsschlüssel, und folgen Sie dem Cursor, bis es keine nächste Seite mehr gibt; jede Seite enthält bis zu 1.000 Logs. Für die Historie über Ihre Indexaufbewahrung hinaus lesen Sie Ihre Log-Archive in S3, GCS oder Azure Storage oder rehydrieren Sie sie. Sicherheitssignale sind eine separate API.

Datadog ist der Ort, an dem viele cloud-native Teams bereits ihre Logs aufbewahren, was es zur natürlichen Quelle für einen Untersuchungsausschnitt macht. Prime Core hat 23.983 Erkennungsregeln für Datadog, die 676 MITRE ATT&CK-Techniken zugeordnet sind. Unten wird erläutert, wie Sie Logs extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie beginnen

Zwei Schlüssel. Die Logs Search API benötigt einen API-Schlüssel (DD-API-KEY) und einen Anwendungsschlüssel (DD-APPLICATION-KEY). Der Anwendungsschlüssel muss einem Benutzer oder einem Dienstkonto gehören, das die Logs lesen kann, und wenn er begrenzt ist, benötigt er Zugriff auf das Lesen von Logs.

Ihre Datadog-Site. Der API-Host folgt Ihrer Site: api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com und andere. Verwenden Sie den, der zu Ihrer Anmelde-URL passt.

Aufbewahrung. Indexierte Logs sind so lange durchsuchbar, wie ihr Index sie aufbewahrt. Ältere Logs existieren nur in Archiven, wenn Sie welche eingerichtet haben.

Mit der Logs Search API exportieren

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# nur Rohmeldungen
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

Die API ist ratenbegrenzt. Bei großen Zeiträumen erwarten Sie, dass es eine Weile dauert, und ziehen Sie sich zurück, wenn Sie 429 sehen.

Ältere Logs: Archive

Wenn Sie Log-Archive konfiguriert haben, schreibt Datadog komprimierte JSON-Dateien in Ihren Bucket, organisiert nach Datum und Stunde. Laden Sie die benötigten Stunden herunter und dekomprimieren Sie sie:

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und die Datei hineinfallen lassen.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schiefgeht