Wie man Ereignisse aus IBM QRadar exportiert

Der sauberste Weg, um rohe Ereignisse aus QRadar zu extrahieren, ist die Ariel REST API. Führen Sie eine AQL-Abfrage aus, die UTF8(payload) auswählt, warten Sie, bis die Suche abgeschlossen ist, und ziehen Sie die Ergebnisse als JSON heraus. Sie erhalten die ursprünglichen Protokollzeilen genau so, wie sie Ihre Protokollquellen gesendet haben. Die Registerkarte Log Activity kann Suchergebnisse ebenfalls exportieren, jedoch nicht in einem Format, das LogTotal heute lesen kann. 

QRadar befindet sich im Zentrum vieler SOCs, und früher oder später benötigt jemand einen Teil seiner Daten außerhalb der Konsole: ein IR-Partner, eine zweite Meinung, eine schnelle Überprüfung ohne Erstellung einer neuen Regel. Prime Core hat 23.656 Erkennungsregeln für QRadar, die 674 MITRE ATT&CK-Techniken zugeordnet sind. Unten erfahren Sie, wie Sie einen sauberen Abschnitt von rohen Ereignissen abrufen, bereinigen und kostenlos in LogTotal untersuchen können.

Dieser Leitfaden behandelt QRadar SIEM, sowohl vor Ort als auch softwarebasiert. Wenn Ihr Unternehmen auf QRadar SaaS war, das IBM 2024 an Palo Alto Networks verkauft hat, sind Sie möglicherweise seitdem zu Cortex XSIAM gewechselt.

Kostenlos loslegen

Bevor Sie beginnen

Ein autorisierter Servicetoken. Erstellen Sie einen unter Admin → Autorisierte Dienste und geben Sie ihm ein Ablaufdatum. Der Token trägt eine Benutzerrolle und ein Sicherheitsprofil. Das Sicherheitsprofil entscheidet, welche Protokollquellen und Netzwerke es sehen kann. Wenn es enger gefasst ist als Ihr eigenes, gibt die API leise weniger Ereignisse zurück, als Ihnen in Log Activity angezeigt werden. Das ist der häufigste „Wo sind meine Ereignisse geblieben?“-Moment bei QRadar-Exporten.

Aufbewahrung. Ereignisse leben so lange, wie Ihre Aufbewahrungseimer es erlauben (Admin → Ereignisaufbewahrung). Wenn das benötigte Fenster älter ist, gibt es nichts mehr zu exportieren.

Netzwerkzugang. Die API läuft auf dem HTTPS-Port der Konsole. Konsolen verwenden oft selbstsignierte Zertifikate; verweisen Sie curl auf die richtige CA mit –cacert anstelle der Deaktivierung der Verifizierung.

Schritt 1: Schreiben Sie die AQL-Abfrage

Wählen Sie die Nutzlast plus einige Felder für den Kontext aus:

SELECT DATEFORMAT(starttime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       LOGSOURCENAME(logsourceid) AS log_source,
       QIDNAME(qid) AS event_name,
       UTF8(payload) AS payload
FROM events
WHERE LOGSOURCENAME(logsourceid) = 'web-03'
START '2026-10-19 00:00' STOP '2026-10-20 00:00'

Einige Anmerkungen aus der Erfahrung:

• UTF8(payload) ist der wichtige Teil. Ohne dies kommt die Nutzlast als kodierte Bytes zurück, nicht als lesbarer Protokolltext.
• Eingrenzen. Filtern Sie nach Protokollquellenname oder nach Typ mit LOGSOURCETYPENAME(devicetype) ILIKE ‚%Linux%‘, und halten Sie das Fenster eng.
• START / STOP für genaue Fenster, LETZTE 24 STUNDEN für relative.
• Testen Sie es zuerst in Log Activity → Erweiterte Suche. Es ist die gleiche AQL, und Sie sehen die Ereignisanzahl, bevor Sie exportieren.

Windows-Ereignisse, die über WinCollect gesammelt werden, kommen als Textnutzlasten an, nicht als EVTX. Was Sie exportieren, ist dieser Text.

Schritt 2: Führen Sie es durch die Ariel-API

Speichern Sie dies als qradar_export.sh. Es startet die Suche, wartet darauf und schreibt eine rohe Nutzlast pro Zeile:

#!/usr/bin/env bash
set -euo pipefail

QRADAR="https://qradar.example.com"
TOKEN="${QRADAR_TOKEN:?set QRADAR_TOKEN first}"
AQL="SELECT UTF8(payload) AS payload FROM events WHERE LOGSOURCENAME(logsourceid) = 'web-03' START '2026-10-19 00:00' STOP '2026-10-20 00:00'"

# 1. starten Sie die Suche (-G setzt die Abfrage in die URL, -X POST behält die Methode bei)
SID=$(curl -sS -G -X POST -H "SEC: $TOKEN" -H "Accept: application/json" 
  --data-urlencode "query_expression=$AQL" 
  "$QRADAR/api/ariel/searches" | jq -r '.search_id')

# 2. warten Sie, bis es fertig ist
while :; do
  STATUS=$(curl -sS -H "SEC: $TOKEN" "$QRADAR/api/ariel/searches/$SID" | jq -r '.status')
  [ "$STATUS" = "COMPLETED" ] && break
  if [ "$STATUS" = "ERROR" ] || [ "$STATUS" = "CANCELED" ]; then echo "Search $STATUS"; exit 1; fi
  sleep 5
done

# 3. holen Sie die Ergebnisse: rohe Nutzlasten, eine pro Zeile
curl -sS -H "SEC: $TOKEN" -H "Accept: application/json" 
  "$QRADAR/api/ariel/searches/$SID/results" | jq -r '.events[].payload' > web-03_qradar_1019.log

Möchten Sie stattdessen strukturierte Ereignisse mit Zeit und Protokollquelle als Felder? Wählen Sie diese Spalten in der AQL aus und verwenden Sie jq -c ‚.events[]‘ im letzten Schritt. Sie erhalten ein JSON-Objekt pro Zeile.

Für sehr große Ergebnismengen ziehen Sie die Ergebnisse in Seiten mit einem Range-Header ab, zum Beispiel -H „Range: items=0-49999“, dann die nächsten 50.000.

Schritt 3: Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen Sie logtotal.com und legen Sie die Datei ab. 
2. Bereinigen. Überprüfen Sie es, bevor Sie fortfahren.
3. Überprüfen. 

Wenn es schief geht