Cómo Exportar Registros de Sekoia

Utilice la API de búsqueda de eventos de Sekoia.io en tres pasos. Cree un trabajo de búsqueda (POST /v1/sic/conf/events/search/jobs) con una consulta y un rango de tiempo, espere hasta que el trabajo esté terminado, luego lea sus eventos en páginas de hasta 1,000. El Exportar eventos botón en la página de Eventos también funciona, pero se detiene en 500 eventos. Para volúmenes grandes, Sekoia ofrece una API de exportación masiva y su propia herramienta sekoia-event-exporter.

Sekoia.io es una plataforma SOC europea, y su almacén de eventos es a menudo el primer lugar que sus usuarios buscan durante una investigación. Prime Core tiene 23,983 reglas de detección, mapeadas a 676 técnicas MITRE ATT&CK. A continuación se muestra cómo extraer eventos, sanearlos e investigarlos de forma gratuita en LogTotal.

Comienza gratis

Antes de empezar

Una clave de API. Cree una en Sekoia.io con permiso para buscar eventos. Solo lectura es suficiente para buscar; la exportación masiva necesita el permiso SIC_MASSIVE_EXPORT_EVENTS.

El host de la API de su región. El predeterminado es https://api.sekoia.io. Otras regiones tienen sus propios hosts, por ejemplo, https://api.usa1.sekoia.io.

Lenguaje de consulta. La API acepta las mismas consultas que la página de Eventos. Los ejemplos a continuación usan el clásico sintaxis “dork” (term_lang: dork). Construya y pruebe la consulta en la interfaz de usuario primero.

Exportar con la API de búsqueda de eventos

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. crear el trabajo de búsqueda
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
| jq -r '.uuid')

# 2. esperar hasta que el trabajo esté terminado (estado 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. leer los eventos, 1,000 a la vez
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off<TOTAL; off+=1000)); do
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Los eventos regresan del más reciente al más antiguo. Un trabajo que falla nunca alcanza el estado 2, así que agregue un tiempo de espera si lo escribe para uso regular.

Para exportaciones grandes, inicie la exportación masiva en un trabajo finalizado (POST /v1/sic/conf/events/search/jobs//export), espere por la tarea, luego obtenga el enlace de descarga. El paquete sekoia-event-exporter en PyPI envuelve este flujo de trabajo.

Subir, sanear y revisar en LogTotal

1. Subir. Abrir logtotal.com y suelta el archivo. 
2. Sanear. 
3. Revisar. 

Cuando algo sale mal