Suivre Chaque SIEM peut retourner ses données sous deux formes : les événements bruts originaux ou son propre JSON analysé. Pour une analyse en dehors du SIEM, les événements bruts sont presque toujours le meilleur choix. Exportez-les pour une fenêtre de temps restreinte via l’API ou le CLI, pas le navigateur. Le tableau ci-dessous montre le meilleur chemin pour chaque plateforme majeure, avec un lien vers le guide complet.
Pourquoi se donner la peine d’extraire des données d’un SIEM ? Pour un deuxième avis, pour les partager avec un partenaire IR qui n’a pas accès, ou pour exécuter une logique de détection qui manque à votre SIEM. Prime Core dispose de 1M de règles de détection sur ces plateformes, cartographiées à 676 techniques MITRE ATT&CK, et LogTotal les exécute sur un fichier gratuitement.
Plateforme par plateforme
| Plateforme | Meilleure voie d’exportation | Ce que vous obtenez | Guide complet |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata, ou REST search/v2/jobs/export avec output_mode=raw | Lignes brutes originales | [Splunk] |
| IBM QRadar | Ariel REST API avec UTF8(payload) | Payloads originaux | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, ou _search avec PIT | Documents JSON ; ligne brute si conservée dans le message | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT avec search_after, ou ES|QL (jusqu’à 10 000 lignes) | Documents JSON ; ligne brute dans event.original si préservée | [Elastic] |
| CrowdStrike Falcon | Export de recherche d’événements avancés, ou Falcon Data Replicator | Télémétrie Falcon au format JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Un objet JSON par ligne | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Lignes de chasse avancées au format JSON | [Defender XDR] |
| Google SecOps | API de recherche UDM, ou API d’exportation de données vers le stockage Cloud | JSON UDM, ou journaux bruts originaux | [Google SecOps] |
Six règles qui s’appliquent partout
- Exportez les événements, pas les résumés. Tout ce qui se termine par stats, summarize, table ou une agrégation est un rapport, pas des journaux.
- Restreindre d’abord. Hôte, source, type d’événement, fenêtre temporelle. Comptez avant de télécharger ; la plupart des plateformes affichent le nombre dans l’interface utilisateur.
- Utilisez l’API ou le CLI pour tout ce qui dépasse quelques milliers d’événements. Les exports via le navigateur expirent, relancent les recherches ou limitent silencieusement le nombre de lignes.
- Attention à la limite de permission. Les jetons API voient souvent moins que votre session UI : profils de sécurité QRadar, rôles Splunk, domaines Graph. Lorsque les chiffres ne correspondent pas, vérifiez d’abord le jeton.
- Verrouillez le fuseau horaire. Utilisez des fenêtres absolues en UTC ou avec un décalage explicite. Les fenêtres relatives (« dernières 24 heures ») dérivent si une recherche est relancée.
- Dégagez l’enveloppe. De nombreuses APIs enveloppent chaque événement : une chaîne JSON dans CloudTrailEvent, un tableau Records, une clé de résultat, un message CloudWatch. Aplatissez en un événement par ligne avec jq avant de téléverser.
Ce qu’un SIEM ne peut pas vous rendre
- Binaires originaux. Aucun SIEM ne renvoie des fichiers Windows EVTX ; vous obtenez un texte rendu ou du JSON. Pour EVTX, allez à l’hôte.
- Données passées en rétention. Une fois qu’elles ont été archivées, ou déplacées vers un niveau d’archive nécessitant une restauration, une recherche normale ne les trouvera pas.
- Champs supprimés à l’ingestion. Si le pipeline a rejeté la ligne brute ou un champ, c’est perdu. Vérifiez avant de promettre quelque chose à un analyste.
Télécharger, assainir et examiner dans LogTotal
LogTotal lit le texte de type syslog, JSON et EVTX. Les téléversements de texte et de JSON passent par l’étape de l’assainissement avant l’analyse.
- Télécharger. Ouvrez logtotal.com et déposez votre export.
- Assainissez.
- Examinez.
FAQ
Mon SIEM n’est pas dans le tableau. Cela fonctionne-t-il encore ?
Oui. Les règles ci-dessus s’appliquent à toute plateforme : trouvez l’itinéraire via API ou CLI, exportez des événements bruts pour une fenêtre restreinte et aplatissez JSON en un événement par ligne. Nous ajoutons des guides pour le reste des 65+ plateformes prises en charge par SOC Prime.
Pourquoi ne pas simplement l’analyser dans le SIEM ?
Souvent, vous devriez. Une vérification basée sur un fichier est pour quand vous voulez un deuxième ensemble de détections, que vous devez partager des données avec quelqu’un à l’extérieur, ou que vous voulez tester ce que votre SIEM pourrait manquer.
