Come Esportare i Log di SentinelOne Singularity Data Lake

Invia un PowerQuery all’API del Singularity Data Lake su /api/powerQuery sul tuo URL regionale del Data Lake, per esempio https://xdr.us1.sentinelone.net. La risposta arriva come una tabella (colonne più righe) e una riga jq la trasforma in un oggetto JSON per evento. In alternativa, esporta gli eventi direttamente dalla console Singularity tramite Event Search. CSV è un formato di esportazione comunemente disponibile, mentre i download in JSON o testo semplice possono essere disponibili a seconda dell’interfaccia.

Singularity Data Lake detiene la telemetria dell’endpoint di SentinelOne insieme a qualsiasi log di terze parti che vi invii, quindi spesso rappresenta la visione più ampia che un cliente di SentinelOne ha. Prime Core ha 14.699 regole di rilevamento per SentinelOne, mappate su 644 tecniche MITRE ATT&CK. Di seguito viene illustrato come estrarre dati, sanificarli e indagarli gratuitamente su LogTotal.

Inizia gratis

Prima di iniziare

Un utente di servizio con i permessi adeguati. Crea un utente di servizio per l’accesso all’API e assegna al suo ruolo i permessi di query del Data Lake (SDL Query API e SDL Search). Crealo a livello di account o sito che effettivamente detiene i dati. Una chiave creata al livello sbagliato si autentica correttamente ma non restituisce nulla.

Il tuo URL regionale. Gli Stati Uniti usano tipicamente https://xdr.us1.sentinelone.net; altre regioni utilizzano i propri nomi host. La sezione di aiuto della console elenca il tuo URL.

Conosci i campi. La telemetria dell’endpoint utilizza nomi come endpoint.name, event.type, src.process.cmdline e tgt.process.cmdline. I log di terze parti mantengono il loro testo originale in un campo message. Prova la query in Event Search prima.

Esporta con l’API PowerQuery

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# tabella -> un oggetto JSON per riga
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

I risultati di PowerQuery sono limitati, quindi dividi lunghe finestre in diverse richieste.

Lo stadio delle colonne decide cosa ottieni. Ommetti i campi di cui non hai bisogno, ma mantieni le linee di comando e i nomi dei processi: è lì che la maggior parte dei rilevamenti guarda.

Esporta i log tramite l’interfaccia utente del Singularity Data Lake

Per indagini rapide o campioni di log più piccoli, puoi esportare gli eventi direttamente dalla console Singularity SentinelOne senza usare l’API.

1. Apri Event Search. Accedi alla console Singularity SentinelOne e vai a Event Search. Seleziona l’account o il sito che contiene i tuoi log.
2. Imposta l’intervallo di tempo. Scegli il periodo che vuoi indagare e assicurati che le fonti dati corrette siano incluse.
3. Esegui una query. Abilita PowerQuery e inserisci un filtro di ricerca, per esempio endpoint.name = “WS-042”. Esegui la ricerca.
4. Rivedi i risultati. Controlla gli eventi corrispondenti e seleziona i campi di cui hai bisogno, come timestamp, endpoint.name, event.type, src.process.cmdline e tgt.process.cmdline. Evita le funzioni di aggregazione se hai bisogno di eventi di log individuali.
5. Esporta i risultati. Usa l’opzione Esporta or Scarica nell’area dei risultati. A seconda della versione della console e della modalità di ricerca, potresti essere in grado di scegliere tra CSV, JSON e testo semplice.
6. Salva il file. Scarica i risultati sul tuo computer. Preferisci JSON quando disponibile, specialmente per la telemetria strutturata degli endpoint. Per i log di terze parti, conserva il campo message che contiene il testo originale del log.

Limitazioni. I formati di esportazione e i limiti dei risultati variano a seconda della versione della console e della modalità di ricerca. Anche ricerche di grandi dimensioni possono superare il limite di esportazione dell’interfaccia utente; riduci l’intervallo di tempo o usa l’API del Data Lake per dataset più grandi.

Carica, sanifica e rivedi su LogTotal

1. Carica. Apri logtotal.com e trascina il file .jsonl. 
2. Sanifica. 
3. Rivedi. 

Quando qualcosa va storto