Suivre Envoyez votre requête à l’API de requêtes LogScale, POST /api/v1/repositories/<repo>/query, et demandez le format application/x-ndjson : vous obtenez un événement par ligne. La ligne de log originale se trouve dans @rawstring, donc un appel jq transforme l’exportation en logs bruts. Sinon, exportez les logs directement à partir de l’interface utilisateur LogScale en texte brut, JSON ou CSV.
LogScale (anciennement Humio) est conçu pour la recherche de logs à volume élevé, il détient donc souvent l’enregistrement le plus complet qu’une équipe possède. Prime Core a 23 747 règles de détection pour Falcon LogScale, mappées à 674 techniques MITRE ATT&CK. Voici comment extraire des données, les assainir et les examiner gratuitement dans LogTotal.
Ce guide couvre LogScale autonome, dans le cloud ou autogéré. Si vous utilisez LogScale à l’intérieur de la console Falcon dans le cadre de Next-Gen SIEM, la console et ses API sont différentes.
Avant de commencer
Un jeton. Créez un jeton d’API avec la permission d’interroger le dépôt. Traitez-le comme un mot de passe.
URL de base et dépôt. Les clients cloud utilisent l’URL de leur région, telle que https://cloud.us.humio.com. Les clusters auto-hébergés utilisent leur propre nom d’hôte. Vous avez également besoin du nom du dépôt ou de la vue.
Rétention. Chaque dépôt a sa propre durée de rétention. Vérifiez-la avant de promettre à quelqu’un une semaine d’historique.
Exportez avec l’API de requêtes
LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)
curl -sS "$LS/api/v1/repositories/security/query"
-H "Authorization: Bearer $LOGSCALE_TOKEN"
-H "Content-Type: application/json" -H "Accept: application/x-ndjson"
-d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}"
> logscale_web03_1019.ndjson
# lignes brutes seulement
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log
Les valeurs de début et de fin sont en millisecondes epoch ; des valeurs relatives comme « 24h » fonctionnent aussi. La syntaxe date -d est GNU, donc sur macOS calculez les horodatages autrement.
Gardez la requête comme un filtre. Tout ce qui agrège (groupBy, count, timechart) renvoie l’agrégat, pas les événements. Pour des recherches très longues ou lourdes, utilisez l’API de travaux de requête qui exécute la recherche de manière asynchrone et vous permet de vérifier les résultats.
Exportez les logs via l’interface de recherche Falcon LogScale
Pour des enquêtes rapides ou des échantillons de logs plus petits, vous pouvez exporter des événements directement depuis l’interface web Falcon LogScale sans utiliser l’API.
- Ouvrez la recherche. Connectez-vous à Falcon LogScale, sélectionnez le dépôt ou la vue contenant vos logs et ouvrez la page de recherche. .
- Exécutez une requête. Entrez un filtre de recherche, par exemple host=web-03. Définissez la plage de temps et lancez la recherche.
- Examinez les résultats. Vérifiez que les événements retournés correspondent à vos besoins. Évitez les fonctions d’agrégation telles que groupBy(), count() ou timeChart() si vous souhaitez des événements de log individuels.
- Exportez les logs. Depuis les résultats de recherche, cliquez sur Enregistrer > Exporter des données vers un fichier.
- Choisissez le format de fichier.
- Texte brut (.txt) : Exporte le champ @rawstring, préservant les lignes de log originales. Idéal pour LogTotal lorsque la source contient du texte de style syslog.
- JSON (.json) : Exporte des objets d’événement complets, y compris les champs analysés et les métadonnées. Idéal lorsque vous avez besoin d’événements structurés.
- CSV (.csv) : Exporte les champs sélectionnés dans un tableau. Utile pour les rapports, mais moins adapté à LogTotal. Sélectionnez ‘Tout sélectionner’ dans ‘Champs à exporter’.
- Téléchargez. Entrez un nom de fichier et cliquez sur Exporter pour enregistrer le fichier localement.
Limitations. L’exportation texte brut nécessite que le contenu du log original soit disponible dans @rawstring. Si ce champ manque, exportez les événements complets au format JSON à la place. Pour de grands ensembles de données, réduisez la plage temporelle ou utilisez l’API de requêtes. Les exportations de recherche non-agrégées peuvent contenir des événements dans un ordre différent de celui des résultats de l’interface utilisateur.
Téléchargez, assainissez et examinez dans LogTotal
- Téléchargez. Ouvrez logtotal.com et déposez-y le fichier.
- Assainissez.
- Examinez.
Quand cela tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| 401 ou 403 | Jeton manquant, expiré ou sans autorisation de requête sur le dépôt | Créez un jeton avec droits de requête |
| Aucun résultat | Nom de dépôt incorrect ou secondes au lieu de millisecondes | Vérifiez le nom ; utilisez +%s000 |
| Lignes agrégées au lieu d’événements | La requête agrège | Utilisez un filtre simple |
| @rawstring est manquant | Un parseur l’a remplacé, ou les données ont été ingérées sous forme de JSON structuré | Exportez l’ensemble de l’événement à la place |
| La requête expire | Trop de données pour une requête synchrone | Réduisez la fenêtre, ou utilisez des travaux de requêtes |
FAQ
LogScale est-il identique à Falcon Next-Gen SIEM ?
Next-Gen SIEM est basé sur la technologie LogScale, mais il vit à l’intérieur de la plateforme Falcon avec sa propre console et ses API. Ce guide est pour LogScale autonome.
NDJSON ou brut ?
Brut (@rawstring) lorsque la source était du texte de style syslog. NDJSON lorsque les événements étaient JSON au départ, ou lorsque vous avez besoin des champs analysés de LogScale.
