Seguir Envía tu consulta a la API de consultas de LogScale, POST /api/v1/repositories/<repo>/query, y solicita application/x-ndjson: obtendrás un evento por línea. La línea de registro original se encuentra en @rawstring, por lo que una sola llamada jq convierte la exportación de nuevo en registros sin procesar. Alternativamente, exporta registros directamente desde la interfaz de LogScale como texto plano, JSON o CSV.
LogScale (anteriormente Humio) está diseñado para la búsqueda de registros de alto volumen, por lo que a menudo tiene el registro más completo que posee un equipo. Prime Core tiene 23.747 reglas de detección para Falcon LogScale, mapeadas a 674 técnicas de MITRE ATT&CK. A continuación se explica cómo extraer datos, sanitizarlos e investigarlos gratis en LogTotal.
Esta guía cubre LogScale independiente, en la nube o autohospedado. Si usas LogScale dentro de la consola Falcon como parte de Next-Gen SIEM, la consola y sus APIs son diferentes.
Antes de comenzar
Un token. Crea un token de API con permiso para consultar el repositorio. Trátalo como una contraseña.
URL base y repositorio. Los clientes de la nube utilizan la URL de su región, como https://cloud.us.humio.com. Los clústeres autohospedados utilizan su propio nombre de host. También necesitas el nombre del repositorio o vista.
Retención. Cada repositorio tiene su propia retención. Revísalo antes de prometerle a alguien una semana de historial.
Exportar con la API de consultas
LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)
curl -sS "$LS/api/v1/repositories/security/query"
-H "Authorization: Bearer $LOGSCALE_TOKEN"
-H "Content-Type: application/json" -H "Accept: application/x-ndjson"
-d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}"
> logscale_web03_1019.ndjson
# sólo líneas sin procesar
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log
Los valores de inicio y fin son milisegundos de época; también funcionan valores relativos como «24h». La sintaxis date -d es de GNU, por lo que en macOS hay que calcular los tiempos de otra manera.
Mantén la consulta como un filtro. Cualquier cosa que agregue (groupBy, count, timechart) devuelve la agregación, no los eventos. Para búsquedas muy largas o pesadas, utiliza la API de trabajos de consulta, que ejecuta la búsqueda de manera asincrónica y te permite sondear los resultados.
Exportar registros a través de la interfaz de búsqueda de Falcon LogScale
Para investigaciones rápidas o muestras de registros más pequeñas, puedes exportar eventos directamente desde la interfaz web de Falcon LogScale sin usar la API.
- Abrir búsqueda. Inicia sesión en Falcon LogScale, selecciona el repositorio o vista que contiene tus registros, y abre la página de búsqueda. .
- Ejecuta una consulta. Introduce un filtro de búsqueda, por ejemplo, host=web-03. Establece el rango de tiempo y ejecuta la búsqueda.
- Revisar resultados. Verifica que los eventos devueltos coincidan con lo que necesitas. Evita funciones de agregación como groupBy(), count() o timeChart() si deseas eventos de registro individuales.
- Exportar los registros. Desde los resultados de búsqueda, haz clic en Guardar > Exportar datos a archivo.
- Elige el formato del archivo.
- Texto plano (.txt): Exporta el campo @rawstring, preservando las líneas de registro originales. Mejor para LogTotal cuando la fuente contiene texto estilo syslog.
- JSON (.json): Exporta objetos de eventos completos, incluyendo campos analizados y metadatos. Mejor cuando necesitas eventos estructurados.
- CSV (.csv): Exporta campos seleccionados a una tabla. Útil para reportes, pero menos adecuado para LogTotal. Selecciona ‘Seleccionar todo’ en ‘Campos a exportar’.
- Descargar. Introduce un nombre de archivo y haz clic en Exportar para guardar el archivo localmente.
Limitaciones. La exportación de texto sin formato requiere que el contenido original del registro esté disponible en @rawstring. Si falta ese campo, exporta los eventos completos como JSON. Para conjuntos de datos grandes, reduce el rango de tiempo o utiliza la API de consultas. Las exportaciones de búsqueda no agregadas pueden contener eventos en un orden diferente al de los resultados de la interfaz.
Subir, sanitizar y revisar en LogTotal
- Subir. Abre logtotal.com y suelta el archivo allí.
- Sanitizar.
- Revisar.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| 401 o 403 | Token faltante, expirado o sin permiso de consulta en el repositorio | Crea un token con derechos de consulta |
| Sin resultados | Nombre de repositorio incorrecto, o segundos en lugar de milisegundos | Verifica el nombre; usa +%s000 |
| Filas agregadas en lugar de eventos | La consulta agrega | Usa un filtro simple |
| @rawstring falta | Un parser lo reemplazó, o los datos fueron ingeridos como JSON estructurado | Exporta el evento completo en su lugar |
| La solicitud se agota | Demasiados datos para una consulta sincrónica | Reduce la ventana, o usa trabajos de consulta |
FAQ
¿Es LogScale lo mismo que Falcon Next-Gen SIEM?
Next-Gen SIEM está construido sobre la tecnología de LogScale, pero reside dentro de la plataforma Falcon con su propia consola y APIs. Esta guía es para LogScale independiente.
¿NDJSON o sin procesar?
Sin procesar (@rawstring) cuando la fuente era texto estilo syslog. NDJSON cuando los eventos eran JSON desde el principio, o cuando necesitas los campos analizados de LogScale.
