Come Esportare i Log di Sekoia

Usa l’API di ricerca degli eventi Sekoia.io in tre passaggi. Crea un lavoro di ricerca (POST /v1/sic/conf/events/search/jobs) con una query e una finestra temporale, aspetta che il lavoro sia terminato, quindi leggi i suoi eventi in pagine di fino a 1.000. Il Esporta eventi pulsante nella pagina degli Eventi funziona anche, ma si ferma a 500 eventi. Per volumi elevati, Sekoia offre un’API di esportazione massiccia ed il suo strumento sekoia-event-exporter.

Sekoia.io è una piattaforma SOC europea e il suo archivio eventi è spesso il primo posto che i suoi utenti controllano durante un’indagine. Prime Core ha 23.983 regole di rilevamento, mappate a 676 tecniche MITRE ATT&CK. Di seguito è riportato come estrarre gli eventi, sanificarli e indagarli gratuitamente in LogTotal.

Inizia gratuitamente

Prima di iniziare

Una chiave API. Creane una in Sekoia.io con il permesso di cercare eventi. Solo lettura è sufficiente per la ricerca; l’esportazione massiva necessita del permesso SIC_MASSIVE_EXPORT_EVENTS.

L’host API della tua regione. Il predefinito è https://api.sekoia.io. Altre regioni hanno i propri host, per esempio https://api.usa1.sekoia.io.

Linguaggio di query. L’API accetta le stesse query della pagina Eventi. Gli esempi sotto usano la sintassi classica “dork” (term_lang: dork). Costruisci e testa la query prima nell’interfaccia utente.

Esporta con l’API di ricerca degli eventi

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. crea il lavoro di ricerca
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. aspetta fino a quando il lavoro è terminato (stato 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. leggi gli eventi, 1.000 alla volta
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Gli eventi tornano i più recenti per primi. Un lavoro che fallisce non raggiunge mai lo stato 2, quindi aggiungi un timeout se scrivi uno script per uso regolare.

Per grandi esportazioni, avvia l’esportazione massiva su un lavoro terminato (POST /v1/sic/conf/events/search/jobs//export), attendi il task, quindi recupera il link di download. Il pacchetto sekoia-event-exporter su PyPI incapsula questo flusso di lavoro.

Carica, sanifica e rivedi in LogTotal

1. Carica. Apri logtotal.com e carica il file.
2. Sanifica. 
3. Rivedi. 

Quando qualcosa va storto