Suivre Cortex XSIAM utilise les mêmes API de requête XQL que Cortex XDR : lancez une requête, attendez les résultats et utilisez un flux pour tout ce qui dépasse 1 000 lignes. Ce qui est différent, c’est les données. Les journaux de tiers arrivent dans des ensembles de données bruts, généralement nommés <vendor>_<product>_raw, et la ligne de journal originale se trouve dans le champ _raw_log. Sélectionnez ce champ, et l’exportation vous renverra exactement ce que la source a envoyé.
XSIAM est la plateforme SOC de Palo Alto Networks, et c’est là que de nombreux anciens clients de QRadar SaaS ont fini après l’accord de 2024. Prime Core dispose de plus de 24 000 règles de détection uniques, mappées à 676 techniques MITRE ATT&CK. Voici comment extraire les données, les assainir et les examiner gratuitement dans LogTotal.
Avant de commencer
Une clé API et une URL. Créez une clé avec un rôle pouvant exécuter des requêtes XQL ; notez la clé, son ID, et l’URL de l’API affichée avec elle.
Trouvez l’ensemble de données. Dans le Query Builder, listez les ensembles de données (dataset = offre des suggestions). Les données brutes des tiers suivent le modèle <vendor>_<product>_raw, par exemple fortinet_fortigate_raw. La télémétrie des endpoints est dans xdr_data.
Stockage à chaud et à froid. Les données récentes sont en stockage à chaud et les requêtes sont rapides. Les données plus anciennes peuvent être en stockage à froid, ce qui nécessite une approche de requête spécifique et coûte plus de quota.
Export avec les API XQL
Pour obtenir des lignes brutes d’un ensemble de données FortiGate :
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Exécutez-le via start_xql_query et get_query_results (plus get_query_results_stream au-dessus de 1 000 lignes), comme dans le guide Cortex XDR. Ensuite, transformez le JSON en lignes brutes:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Pour des données normalisées provenant de différentes sources, interrogez le modèle de données (XDM) à la place. Vous obtenez des noms de champs cohérents, mais pas le libellé original.
Télécharger, assainir et examiner dans LogTotal
- Télécharger. Ouvrir logtotal.com et déposez le fichier : lignes brutes de _raw_log, ou les lignes JSON.
- Assainir.
- Examinez.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Ensemble de données non trouvé | Le nom est différent dans votre locataire | Liste des ensembles de données dans le Query Builder |
| _raw_log est vide | La source a été ingérée comme données structurées | Exportez les champs analysés à la place |
| Exactement 1 000 résultats | Flux non utilisé | Utilisez get_query_results_stream |
| Erreurs de quota | Quota XQL utilisé, ou requêtes de stockage à froid | Réduisez la fenêtre ; vérifiez le quota |
| Données anciennes manquantes | C’est dans le stockage à froid | Interrogez le stockage à froid, ou restaurez-le |
FAQ
Brut ou XDM?
Brut (_raw_log) pour LogTotal, car il conserve le format propre de la source. XDM lorsque vous avez besoin des mêmes champs sur plusieurs sources.
Je suis passé de QRadar SaaS. Mes anciennes données sont-elles ici ?
Cela dépend de votre migration. Vérifiez quels ensembles de données contiennent l’historique migré.
