Seguir Cada SIEM puede devolver sus datos en una de dos formas: los eventos sin procesar originales o su propio JSON analizado. Para análisis fuera del SIEM, los eventos sin procesar son casi siempre la mejor opción. Expórtalos para un intervalo de tiempo estrecho a través de la API o CLI, no el navegador. La tabla a continuación muestra la mejor ruta para cada plataforma principal, con un enlace a la guía completa.
¿Por qué molestarme en extraer datos de un SIEM en absoluto? Para obtener una segunda opinión, compartirlo con un socio de IR que no tiene acceso, o ejecutar lógica de detección que tu SIEM no posee. Prime Core tiene 1 millón de reglas de detección en estas plataformas, mapeadas a 676 técnicas MITRE ATT&CK, y LogTotal las ejecuta contra un archivo de forma gratuita.
Plataforma por plataforma
| Plataforma | Mejor ruta de exportación | Lo que obtienes | Guía completa |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata, o REST search/v2/jobs/export con output_mode=raw | Líneas sin procesar originales | [Splunk] |
| IBM QRadar | API REST de Ariel con UTF8(payload) | Cargas útiles originales | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, o _search con PIT | Documentos JSON; línea sin procesar si se mantiene en el mensaje | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT con search_after, o ES|QL (hasta 10,000 filas) | Documentos JSON; línea sin procesar en event.original si se preserva | [Elastic] |
| CrowdStrike Falcon | Exportación de Búsqueda de Eventos Avanzados, o Replicador de Datos Falcon | Telemetría Falcon como JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Un objeto JSON por fila | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Filas de caza avanzada como JSON | [Defender XDR] |
| Google SecOps | API de búsqueda UDM, o API de Exportación de Datos a Almacenamiento en la Nube | UDM JSON, o registros sin procesar originales | [Google SecOps] |
Seis reglas que aplican en todas partes
- Exporta eventos, no resúmenes. Cualquier cosa que termine en stats, summarize, table o una agregación es un informe, no registros.
- Ajusta primero. Anfitrión, fuente, tipo de evento, ventana de tiempo. Cuenta antes de extraer; la mayoría de las plataformas muestra el número en la interfaz.
- Usa la API o CLI para cualquier cosa que supere unos pocos miles de eventos. Las exportaciones desde el navegador se agotan, vuelven a ejecutar búsquedas o silenciosamente limitan el número de filas.
- Presta atención al límite de permisos. Los tokens de API a menudo ven menos que tu sesión en la interfaz: perfiles de seguridad de QRadar, roles de Splunk, alcances de Graph. Cuando los números no coinciden, verifica primero el token.
- Fija la zona horaria. Usa ventanas absolutas en UTC o con un desplazamiento explícito. Las ventanas relativas (“últimas 24 horas”) se desvían si se vuelve a ejecutar una búsqueda.
- Desenvuelve el sobre. Muchas API envuelven cada evento: una cadena JSON dentro de CloudTrailEvent, un array de Records, una clave de resultado, un mensaje de CloudWatch. Aplana a un evento por línea con jq antes de cargar.
Lo que un SIEM no puede devolverte
- Binarios originales. Ningún SIEM devuelve archivos EVTX de Windows; obtienes texto o JSON procesado. Para EVTX, dirígete al anfitrión.
- Datos más allá de la retención. Una vez que se queda obsoleto o se mueve a un nivel de archivo que necesita una restauración, una búsqueda normal no lo encontrará.
- Campos descartados en la ingesta. Si la tubería descartó la línea sin procesar o un campo, ha desaparecido. Verifica antes de prometerle algo a un analista.
Carga, sanitiza y revisa en LogTotal
LogTotal lee texto estilo syslog, JSON y EVTX. Las cargas de texto y JSON pasan por el paso de sanitización antes del análisis.
- Sube. Abre logtotal.com y deja caer tu exportación.
- Sanitiza.
- Revisa.
FAQ
Mi SIEM no está en la tabla. ¿Esto todavía funciona?
Sí. Las reglas anteriores se aplican a cualquier plataforma: encuentra la ruta API o CLI, exporta eventos sin procesar para una ventana ajustada, y aplana JSON a un evento por línea. Estamos agregando guías para el resto de las más de 65 plataformas que SOC Prime soporta.
¿Por qué no simplemente analizarlo en el SIEM?
A menudo deberías. Una verificación basada en archivo es para cuando deseas un segundo conjunto de detecciones, necesitas compartir datos con alguien fuera o quieres probar lo que tu SIEM podría estar pasando por alto.
