Come Esportare i Log di Devo

SOC Prime Team

Utilizza l’API di query Devo: invia una query LINQ, un intervallo temporale e una modalità di output all’endpoint /search/query della tua regione, autenticato con un token API o una chiave e un segreto. Richiedi una modalità JSON e ottieni eventi strutturati; seleziona il campo messaggio dalle tabelle raw per ottenere nuovamente le righe originali. L’SDK Python ufficiale (devo-sdk) incapsula la stessa API se preferisci il codice al curl.

Devo memorizza grandi volumi di dati di sicurezza e operativi nel cloud, spesso con lunga conservazione. Prime Core ha 23.653 regole di rilevamento per Devo, mappate su 664 tecniche MITRE ATT&CK. Di seguito è riportato come estrarre i dati, sanificarli e analizzarli gratuitamente in LogTotal.

Inizia gratis

Prima di iniziare

Credenziali. Crea un token API, o una chiave API e un segreto, nelle impostazioni delle credenziali del tuo dominio Devo, con accesso alle tabelle necessarie.

L’endpoint della tua regione. L’host dell’API di query dipende da dove risiede il tuo dominio, ad esempio apiv2-us.devo.com o apiv2-eu.devo.com.

Nomi delle tabelle. Devo organizza i dati in tabelle come box.unix o firewall.fortinet.traffic. Trova la tua nell’area di ricerca dei dati e costruisci prima la query lì.

Esporta con l’API di query

curl -sS -X POST "https://apiv2-eu.devo.com/search/query" 
  -H "Authorization: Bearer $DEVO_TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "query": "from box.unix where hostname = "web-03" select eventdate, hostname, message",
    "from": 1792368000,
    "to": 1792454400,
    "mode": {"type": "json/simple"}
  }' > devo_web03_1019.json

I valori from e to sopra sono secondi epoch per il 2026-10-19 00:00 UTC al 2026-10-20 00:00 UTC. Se la risposta è un oggetto JSON per riga, caricalo così com’è. Se è un array, appiattiscilo con jq -c ‘.[]’. Per le righe raw, estrai il messaggio.

Alternativa Python. pip install devo-sdk, quindi utilizza il client API dal pacchetto devo.api con il tuo token, la stessa query e le date. Gestisce la firma della richiesta per l’autenticazione con chiave e segreto.

Carica, sanifica e revisione in LogTotal

Carica. Apri logtotal.com e inserisci il file.
Sanifica.
Revisione.

Quando le cose vanno male

Sintomo	Causa probabile	Fix
401	Token errato, o un problema di firma chiave/segret	Controlla le credenziali; prova l’SDK, che firma le richieste per te
Errori di connessione	Endpoint regionale errato	Utilizza la regione del tuo dominio
Risultati vuoti	Nome della tabella errato, o millisecondi invece di secondi	Controlla la tabella nella ricerca dati; controlla le unità di tempo
L’output è una tabella che non ti aspettavi	La modalità non corrisponde a ciò che ti serve	Scegli una modalità JSON

FAQ

Grezzo o analizzato?

Per le fonti di tipo syslog, seleziona messaggio e carica le righe raw. Per le fonti JSON, carica gli eventi analizzati.

Posso pianificare le esportazioni?

Sì, la stessa API funziona nei lavori programmati. Per l’inoltro continuo, Devo ha anche funzionalità di esportazione dati.