Cómo Exportar Registros de SentinelOne

SentinelOne mantiene tres tipos de datos que vale la pena exportar: telemetría de endpoints, amenazas y actividades (el registro de auditoría de lo que hicieron los usuarios y agentes en la consola). La telemetría se encuentra en el Singularity Data Lake y tiene su propia guía. Las amenazas y actividades salen de la API de gestión (https://<console>.sentinelone.net/web/api/v2.1) con un encabezado ApiToken, como JSON, página por página con un cursor.

Cuando algo va mal en una red protegida por SentinelOne, el registro de actividad a menudo responde las preguntas incómodas. ¿Quién desactivó ese agente? ¿Quién añadió esa exclusión? ¿Quién marcó la amenaza como benigna? Prime Core tiene 14,741 reglas de detección para SentinelOne, mapeadas a 644 técnicas de MITRE ATT&CK. A continuación se muestra cómo obtener los datos, sanearlos e investigarlos de forma gratuita en LogTotal.

Comienza gratis

Antes de comenzar

Un token de API. Crea un usuario de servicio (o usa tu propio usuario) con derechos de vista en la cuenta o sitio que tenga los datos, y genera su token de API. Los tokens expiran; toma nota de cuándo.

Tu URL de consola. Es el nombre de host con el que inicias sesión, por ejemplo https://usea1-example.sentinelone.net.

Exportar actividades y amenazas

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Para amenazas, cambie /activities por /threats y guarde en otro archivo. Ambos endpoints aceptan más filtros, como IDs de sitio o tipos de actividad. 

Qué buscar en las actividades

Busque agentes que se estén desinstalando, desactivando o colocándose en un modo menos protector. Observe nuevas exclusiones, especialmente rutas amplias. Verifique amenazas que se marcaron como resueltas o benignas sin investigación, y cambios de política. Mire de cerca los inicios de sesión en la consola desde lugares desconocidos. Cualquiera de estos, justo antes o durante un incidente, merece una segunda mirada.

Cargar, sanear y revisar en LogTotal

1. Subir. Abrir logtotal.com y suelte el archivo. 
2. Sanear. 
3. Revisar. 

Cuando algo sale mal