Suivre Dans NetWitness Investigate, exécutez votre requête dans la vue Événements, sélectionnez les événements (ou tous) et téléchargez les journaux. Choisissez Texte pour obtenir les lignes de journal brutes, ou JSON pour des événements structurés. Les téléchargements volumineux s’exécutent comme des travaux ; vous récupérez le fichier depuis le bac Travaux lorsqu’il est prêt. Par défaut, une exportation peut inclure jusqu’à 100,000 sessions.
NetWitness, anciennement RSA NetWitness, stocke les journaux sur les décodeurs de journaux et les rend consultables via les concentrateurs et les courtants. Prime Core a 18,461 règles de détection pour NetWitness, mappées à 631 techniques MITRE ATT&CK. Voici comment extraire les journaux, les désinfecter, et les analyser gratuitement dans LogTotal.
Avant de commencer
Accès à Investigate. Vous avez besoin d’un rôle capable d’enquêter sur le service (Broker ou Concentrator) qui détient les journaux.
Définissez le format d’exportation une fois. In Profil → Préférences → Investigation, la préférence Export Log Format détermine le format par défaut pour les téléchargements : Texte, XML, CSV ou JSON. Choisissez Texte pour les journaux bruts. Si laissé vide, NetWitness demande à chaque fois.
Rétention. Jusqu’où vous pouvez remonter dépend du stockage du décodeur de journaux. Les journaux plus anciens peuvent exister uniquement dans un archiveur, si vous en avez un.
Exporter depuis Investigate
- Ouvrir Investigate → Événements, choisissez le service et définissez la plage horaire.
- Interroger avec des clés méta (exemple ci-dessous).
- Exécutez la requête et vérifiez le nombre.
- Sélectionnez les événements que vous voulez, ou aucun pour les prendre tous, et choisissez l’option de téléchargement pour les journaux (Texte ou JSON).
- Ouvrez le bac Travaux (l’icône du chronomètre) et téléchargez le fichier lorsque le travail est terminé.
Une requête pour un hôte Linux ressemble à ceci. Pour les journaux Windows, device.type = ‘winevent_nic’ est l’analyseur de journaux commun.
device.type = 'rhlinux' && alias.host = 'web-03'
Pour un événement unique, l’onglet Texte des détails de l’événement dispose de ses propres options de téléchargement pour le journal brut.
The Exportation maximale de session paramètre limite le nombre de sessions qu’une exportation peut inclure (100,000 par défaut). Pour des fenêtres plus grandes, divisez par le temps.
Option 2 : API REST sur les services
Les concentrateurs et les courtants exposent une interface REST qui peut exécuter des requêtes et renvoyer le contenu des journaux. Cela convient aux exportations scriptées.
Téléchargez, désinfectez et examinez dans LogTotal
- Télécharger. Ouvrir logtotal.com et déposez le fichier.
- Désinfecter.
- Examiner.
À quoi cela ressemble sur de vraies données.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Le téléchargement contient des sessions réseau ou méta, pas des journaux | Mauvaise option de téléchargement | Choisissez le téléchargement de journaux, pas de méta ou PCAP |
| L’exportation s’arrête à 100,000 sessions | Exportation maximale de session limite | Divisez par le temps, ou demandez à un administrateur de relever la limite |
| Aucun fichier n’apparaît | C’est un travail en arrière-plan | Récupérez-le depuis le bac Travaux |
| La requête ne retourne rien | Valeurs de service ou de clé méta incorrectes | Vérifiez les valeurs device.type dans le panneau méta |
FAQ
Texte ou JSON ?
Texte lorsque vous voulez les lignes de log originales, ce qui convient aux sources de type syslog. JSON lorsque vous voulez le méta analysé de NetWitness à côté de chaque événement.
Puis-je exporter aussi des paquets ?
Oui, en tant que PCAP, mais c’est du trafic réseau, pas des journaux. LogTotal fonctionne avec les journaux.
