Comment exporter les journaux de Datadog Cloud SIEM

Cloud SIEM fonctionne au-dessus de la gestion des journaux Datadog, donc exporter les « journaux Cloud SIEM » signifie exporter les journaux sous-jacents. Utilisez l’API de recherche de journaux, POST /api/v2/logs/events/search, avec une clé API et une clé d’application, et suivez le curseur jusqu’à ce qu’il n’y ait plus de page suivante ; chaque page contient jusqu’à 1 000 journaux. Pour l’historique au-delà de votre rétention d’index, lisez vos archives de journaux dans S3, GCS ou Azure Storage, ou réhydratez-les. Les signaux de sécurité sont une API distincte.

Datadog est l’endroit où de nombreuses équipes cloud natives conservent déjà leurs journaux, ce qui en fait la source naturelle pour un segment d’enquête. Prime Core dispose de 23 983 règles de détection pour Datadog, mappées à 676 techniques MITRE ATT&CK. Voici comment extraire les journaux, les nettoyer et les analyser gratuitement dans LogTotal.

Commencez gratuitement

Avant de commencer

Deux clés. L’API de recherche de journaux nécessite une clé API (DD-API-KEY) et une clé d’application (DD-APPLICATION-KEY). La clé d’application doit appartenir à un utilisateur ou à un compte de service pouvant lire les journaux, et si elle est restreinte, elle doit avoir accès à la lecture des journaux.

Votre site Datadog. L’hôte API suit votre site : api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com et d’autres. Utilisez celui correspondant à votre URL de connexion.

Rétention. Les journaux indexés sont consultables tant que leur index les conserve. Les journaux plus anciens existent uniquement dans les archives, si vous en avez configuré.

Exportation avec l’API de recherche de journaux

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# messages brut seulement
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

L’API est limitée par le taux. Pour de grandes fenêtres, attendez-vous à ce que cela prenne un certain temps, et reculez lorsque vous voyez 429.

Journaux anciens : archives

Si vous avez configuré des archives de journaux, Datadog écrit des fichiers JSON compressés dans votre bucket, organisés par date et heure. Téléchargez les heures dont vous avez besoin et décompressez-les :

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

Téléchargez, nettoyez et examinez dans LogTotal

1. Téléchargement. Ouvrir logtotal.com et déposez le fichier.
2. Nettoyez. 
3. Examinez. 

Quand ça va mal