Cómo Exportar Registros de Datadog Cloud SIEM

Cloud SIEM se ejecuta sobre la Gestión de Logs de Datadog, por lo que exportar «logs de Cloud SIEM» significa exportar los logs detrás de él. Usa la API de Búsqueda de Logs, POST /api/v2/logs/events/search, con una clave API y una clave de aplicación, y sigue el cursor hasta que no haya más páginas; cada página contiene hasta 1,000 logs. Para el historial más allá de la retención de tu índice, lee tus archivos de logs en S3, GCS o Azure Storage, o rehidrátalos. Las señales de seguridad son una API separada.

Datadog es donde muchos equipos nativos en la nube ya mantienen sus logs, lo que lo hace la fuente natural para una franja de investigación. Prime Core tiene 23,983 reglas de detección para Datadog, mapeadas a 676 técnicas MITRE ATT&CK. A continuación, se describe cómo extraer, sanitizar e investigar los logs de forma gratuita en LogTotal.

Comienza Gratis

Antes de comenzar

Dos claves. La API de Búsqueda de Logs necesita una clave API (DD-API-KEY) y una clave de aplicación (DD-APPLICATION-KEY). La clave de aplicación debe pertenecer a un usuario, o a una cuenta de servicio, que pueda leer los logs, y si está delimitada, necesita acceso de lectura de logs.

Tu sitio de Datadog. El host de la API sigue a tu sitio: api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com y otros. Usa el que coincida con tu URL de inicio de sesión.

Retención. Los logs indexados son buscables mientras su índice los mantenga. Los logs más antiguos existen solo en archivos, si es que configuraste alguno.

Exportar con la API de Búsqueda de Logs

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# solo mensajes sin procesar
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

La API tiene un límite de velocidad. Para grandes ventanas, espera que tome un tiempo, y retrocede cuando veas 429.

Logs antiguos: archivos

Si configuraste archivos de logs, Datadog escribe archivos JSON comprimidos en tu bucket, organizados por fecha y hora. Descarga las horas que necesites y descomprímelas:

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

Sube, sanitiza y revisa en LogTotal

1. Subir. Abrir logtotal.com y deja caer el archivo.]
2. Sanitizar. 
3. Revisar. 

Cuando algo sale mal