Come Esportare i Log di SentinelOne

SOC Prime Team

SentinelOne conserva tre tipi di dati che vale la pena esportare: telemetria degli endpoint, minacce e attività (la cronologia delle azioni degli utenti e degli agenti nella console). La telemetria risiede nel Singularity Data Lake e ha una propria guida. Minacce e attività escono dall’API di gestione (https://.sentinelone.net/web/api/v2.1) con un’intestazione ApiToken, come JSON, pagina per pagina con un cursore.

Quando qualcosa va storto su una rete protetta da SentinelOne, il registro delle attività spesso risponde alle domande scomode. Chi ha disabilitato quell’agente? Chi ha aggiunto quell’esclusione? Chi ha contrassegnato la minaccia come innocua? Prime Core ha 14.741 regole di rilevamento per SentinelOne, mappate su 644 tecniche MITRE ATT&CK. Di seguito è spiegato come estrarre i dati, sanificarli e investigarli gratuitamente in LogTotal.

Inizia gratuitamente

Prima di iniziare

Un token API. Crea un utente di servizio (o utilizza il tuo utente) con diritti di visualizzazione sull’account o sito che detiene i dati, e genera il suo token API. I token scadono; annota quando.

L’URL della tua console. È il nome host con cui accedi, ad esempio https://usea1-example.sentinelone.net.

Esporta attività e minacce

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Per le minacce, sostituisci /activities con /threats e salva in un altro file. Entrambi gli endpoint accettano più filtri, come gli ID del sito o i tipi di attività.

Cosa cercare nelle attività

Cerca agenti che vengono disinstallati, disabilitati o messi in una modalità meno protettiva. Guarda per nuove esclusioni, specialmente per percorsi ampi. Controlla le minacce che sono state contrassegnate come risolte o innocue senza indagine, e cambiamenti di politica. Osserva attentamente gli accessi alla console da luoghi non familiari. Ognuno di questi, subito prima o durante un incidente, merita una seconda occhiata.

Carica, sanifica e rivedi in LogTotal

Carica. Apri logtotal.com e inserisci il file.
Sanifica.
Rivedi.

Quando si verifica un problema

Sintomo	Causa probabile	Fix
401	Token scaduto, o l’intestazione non è ApiToken	Genera un nuovo token; verifica l’intestazione
Risultati vuoti con un token valido	L’ambito del token non copre il sito	Utilizza un utente con l’ambito corretto
Solo 1.000 record	Cursore non seguito	Ciclare su pagination.nextCursor
Nessuna telemetria di processo qui	La telemetria non è nell’API di gestione

FAQ

Posso ottenere i log dell’agente?

La console può recuperare i log dell’agente da un endpoint per la risoluzione dei problemi. Questi sono file diagnostici per il supporto, non telemetria di sicurezza.

E Deep Visibility?

Deep Visibility era la ricerca di telemetria precedente. Le console attuali usano Singularity Data Lake; consulta quella guida.