Suivre Installez le CLI LimaCharlie (pip install limacharlie), connectez-vous avec votre ID d’organisation et une clé API, et exécutez une requête LCQL avec limacharlie search run pour la période de temps dont vous avez besoin, avec une sortie JSON. Les événements reviennent dans la structure {routing, event} de LimaCharlie. Pour une exportation continue et en masse, configurez une Sortie vers S3, Google Cloud Storage ou une autre destination.
LimaCharlie conserve une année de télémétrie dans son lac de données Insight par défaut, ce qui rend l’investigation a posteriori exceptionnellement pratique. Prime Core possède plus de 24 000 règles de détection uniques, mappées sur 676 techniques MITRE ATT&CK. Voici comment obtenir des événements, les assainir et les investiguer gratuitement dans LogTotal.
Avant de commencer
Une clé API et votre OID. Les deux se trouvent dans l’application web sous Gestion des accès → REST API. Donnez à la clé les permissions nécessaires pour interroger Insight.
Les requêtes coûtent de l’argent. Les requêtes LCQL sont facturées en fonction des données qu’elles scannent. Les exécutions à sec vous donnent d’abord une estimation. Réduisez par plateforme, type d’événement et hôte avant d’élargir la plage de temps.
Connaître les types d’événements. LimaCharlie nomme les événements par type : NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (journaux d’événements Windows), etc. Choisissez ceux qui comptent pour votre question.
Exportez avec le CLI
pip install limacharlie
limacharlie auth login # demande votre OID et clé API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Une requête LCQL a des parties séparées par des tubes : un sélecteur de capteur (plat == windows), les types d’événements, un filtre, et éventuellement une projection de champs. Si la sortie est un tableau, aplatissez-le avec jq -c ‘.[]’.
Le CLI peut également générer une requête LCQL à partir d’une description en langage courant (limacharlie ai generate-query), ce qui aide lorsque vous ne vous souvenez pas des chemins de champs.
En masse : Sorties
Pour l’exportation continue, ajoutez une Sortie dans l’application web qui envoie des événements (et des détections ou journaux d’audit, si vous les voulez) vers S3, Google Cloud Storage, un SIEM ou un webhook. Les sorties envoient des données à partir du moment où elles sont créées. Pour l’historique, interrogez Insight comme ci-dessus.
Téléchargez, assainissez et examinez dans LogTotal
- Télécharger. Ouvrez logtotal.com et déposez le fichier.
- Assainir.
- Examinez.
Quand ça ne va pas
| Symptôme | Cause probable | Fix |
|---|---|---|
| Erreurs d’authentification | OID ou clé erronée, ou permissions manquantes | Recréez la clé avec des permissions de requête |
| La requête est lente ou coûteuse | Trop large : tous les événements, tous les capteurs | Ajoutez un sélecteur de capteur et des types d’événements |
| Aucun résultat | Nom d’hôte dans le mauvais champ, ou type d’événement erroné | Vérifiez les chemins de champs avec une petite requête d’abord |
| Rien de plus vieux qu’un an | Rétention de Insight | Utilisez votre destination de Sortie pour les données plus anciennes |
FAQ
LimaCharlie peut-il collecter des fichiers EVTX à partir d’un endpoint ?
Oui, en tant qu’artefacts collectés par le capteur, et les journaux d’événements Windows sont également transmis en tant qu’événements WEL.
Existe-t-il un mode de requête interactive plus ancien ?
Oui. Les versions antérieures du CLI avaient un shell de requête interactive limacharlie avec set_output et set_format json. La commande search run est la voie scriptable.
