Wie man SentinelOne-Logs exportiert

SentinelOne speichert drei Arten von Daten, die es wert sind, exportiert zu werden: Endpunkt-Telemetrie, Bedrohungen und Aktivitäten (die Prüfspur dessen, was Benutzer und Agenten in der Konsole getan haben). Telemetrie befindet sich im Singularity Data Lake und hat ihren eigenen Leitfaden. Bedrohungen und Aktivitäten kommen über die Management-API (https://<console>.sentinelone.net/web/api/v2.1) mit einem ApiToken-Header als JSON, Seite für Seite mit einem Cursor.

Wenn in einem von SentinelOne geschützten Netzwerk etwas schiefgeht, gibt das Aktivitätsprotokoll oft Antworten auf die unangenehmen Fragen. Wer hat diesen Agenten deaktiviert? Wer hat diese Ausschluss hinzugefügt? Wer hat die Bedrohung als harmlos markiert? Prime Core hat 14.741 Erkennungsregeln für SentinelOne, die 644 MITRE ATT&CK-Techniken zugeordnet sind. Unten wird beschrieben, wie Sie die Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos loslegen

Bevor Sie beginnen

Ein API-Token. Erstellen Sie einen Dienstbenutzer (oder verwenden Sie Ihren eigenen Benutzer) mit Ansichtsrechten auf dem Konto oder der Website, die die Daten enthält, und generieren Sie dessen API-Token. Tokens verfallen; notieren Sie sich, wann.

Ihre Konsolen-URL. Es ist der Hostname, bei dem Sie sich einloggen, zum Beispiel https://usea1-example.sentinelone.net.

Aktivitäten und Bedrohungen exportieren

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Bei Bedrohungen ersetzen Sie /activities durch /threats und speichern in eine andere Datei. Beide Endpunkte akzeptieren mehr Filter, wie z.B. Standort-IDs oder Aktivitätstypen. 

Was in Aktivitäten zu beachten ist

Achten Sie darauf, ob Agenten deinstalliert, deaktiviert oder in einen weniger schützenden Modus versetzt werden. Achten Sie auf neue Ausschlüsse, insbesondere auf breite Pfade. Überprüfen Sie Bedrohungen, die ohne Untersuchung als gelöst oder harmlos markiert wurden, und Richtlinienänderungen. Schauen Sie sich Konsolen-Logins aus unbekannten Orten genau an. All dies, direkt vor oder während eines Vorfalls, ist einen zweiten Blick wert.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und die Datei ablegen.
2. Bereinigen. 
3. Überprüfen. 

Wenn es schiefgeht