Seguir En NetWitness Investigate, ejecuta tu consulta en la vista de Eventos, selecciona los eventos (o todos ellos), y descarga los registros. Elige Texto para obtener las líneas de registro en bruto, o JSON para eventos estructurados. Las descargas grandes se ejecutan como trabajos; obtienes el archivo de la bandeja de Trabajos cuando esté listo. Por defecto, una exportación puede incluir hasta 100,000 sesiones.
NetWitness, anteriormente RSA NetWitness, guarda los registros en Log Decoders y los hace buscables a través de Concentrators y Brokers. Prime Core tiene 18,461 reglas de detección para NetWitness, asignadas a 631 técnicas MITRE ATT&CK. A continuación se explica cómo extraer registros, sanitizarlos e investigarlos gratis en LogTotal.
Antes de comenzar
Acceso a Investigate. Necesitas un rol que pueda investigar el servicio (Broker o Concentrator) que contiene los registros.
Configura el formato de exportación una vez. In Perfil → Preferencias → Investigación, la Preferencia de Formato de Exportación de Registros decide el formato predeterminado para las descargas: Texto, XML, CSV o JSON. Elige Texto para registros en bruto. Si se deja vacío, NetWitness lo pregunta cada vez.
Retención. Cuánto tiempo puedes retroceder depende del almacenamiento del Log Decoder. Los registros más antiguos pueden existir solo en un archivador, si tienes uno.
Exportar desde Investigate
- Abre Investigate → Eventos, selecciona el servicio y establece el intervalo de tiempo.
- Consulta con claves meta (ejemplo abajo).
- Ejecuta la consulta y verifica el conteo.
- Selecciona los eventos que deseas, o ninguno para tomar todos, y opta por la opción de descarga para registros (Texto o JSON).
- Abre la bandeja de Trabajos (el icono del cronómetro) y descarga el archivo cuando el trabajo haya terminado.
Una consulta para un host Linux se ve así. Para registros de Windows, device.type = ‘winevent_nic’ es el analizador de registros común.
device.type = 'rhlinux' && alias.host = 'web-03'
Para un solo evento, la pestaña Texto del detalle del evento tiene sus propias opciones de descarga para el registro en bruto.
The Exportación Máxima de Sesiones la configuración limita cuántas sesiones puede incluir una exportación (100,000 por defecto). Para ventanas más grandes, divídelas por tiempo.
Opción 2: REST API en los servicios
Concentrators y Brokers exponen una interfaz REST que puede ejecutar consultas y devolver contenido de registros. Eso se ajusta a exportaciones scriptadas.
Subir, sanitizar y revisar en LogTotal
- Subir. Abre logtotal.com y arrastra el archivo.
- Sanitizar.
- Revisar.
Cómo se ve esto en datos reales.
Cuando algo falla
| Síntoma | Causa probable | Fix |
|---|---|---|
| La descarga contiene sesiones de red o meta, no registros | Opción de descarga incorrecta | Elige la descarga de registros, no meta o PCAP |
| La exportación se detiene en 100,000 sesiones | Exportación Máxima de Sesiones límite | Divide por tiempo, o pide a un administrador que aumente el límite |
| No aparece ningún archivo | Es un trabajo en segundo plano | Recógelo de la bandeja de Trabajos |
| La consulta no devuelve nada | Valores de servicio o clave meta incorrectos | Verifique los valores de device.type en el panel meta |
FAQ
¿Texto o JSON?
Texto cuando quieres las líneas originales del registro, lo cual es adecuado para fuentes estilo syslog. JSON cuando quieres el meta parseado por NetWitness junto a cada evento.
¿Puedo exportar paquetes también?
Sí, como PCAP, pero eso es tráfico de red, no registros. LogTotal trabaja con los registros.
