Come esportare i log di Falcon LogScale

Invia la tua query all’API di query di LogScale, POST /api/v1/repositories/<repo>/query, e richiedi application/x-ndjson: otterrai un evento per riga. La riga di log originale si trova in @rawstring, quindi una chiamata jq trasforma l’esportazione di nuovo in log grezzi. In alternativa, esporta i log direttamente dall’UI di LogScale come testo semplice, JSON o CSV.

LogScale (precedentemente Humio) è progettato per la ricerca nei log ad alto volume, quindi spesso conserva il record più completo che un team possa avere. Prime Core ha 23.747 regole di rilevamento per Falcon LogScale, mappate su 674 tecniche MITRE ATT&CK. Di seguito è spiegato come ottenere i dati, sanificarli e indagarli gratuitamente in LogTotal.

Questa guida copre LogScale standalone, cloud o self-hosted. Se utilizzi LogScale all’interno della console Falcon come parte di Next-Gen SIEM, la console e le sue API sono diverse.

Inizia gratuitamente

Prima di iniziare

Un token. Crea un token API con permessi per interrogare il repository. Trattalo come una password.

URL base e repository. I clienti cloud utilizzano l’URL della loro regione, come https://cloud.us.humio.com. I cluster self-hosted utilizzano il loro hostname. Ti servirà anche il nome del repository o del view.

Retention. Ogni repository ha la propria retention. Controllala prima di promettere a qualcuno una settimana di cronologia.

Esporta con l’API di query

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# solo righe grezze
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

I valori di inizio e fine sono in millisecondi Epoch; funzionano anche valori relativi come “24h”. La sintassi date -d è GNU, quindi su macOS calcola i timestamp in un altro modo.

Mantieni la query un filtro. Qualsiasi cosa che aggreghi (groupBy, count, timechart) restituisce l’aggregato, non gli eventi. Per ricerche molto lunghe o pesanti, utilizza l’API di query jobs, che esegue la ricerca asincrona e ti permette di sondare i risultati.

Esporta log tramite l’interfaccia Falcon LogScale Search UI

Per indagini rapide o campioni di log più piccoli, puoi esportare eventi direttamente dall’interfaccia web Falcon LogScale senza utilizzare l’API.

1. Apri ricerca. Accedi a Falcon LogScale, seleziona il repository o il view che contiene i tuoi log e apri la pagina di ricerca .
2. Esegui una query. Inserisci un filtro di ricerca, ad esempio host=web-03. Imposta l’intervallo temporale ed esegui la ricerca.
3. Rivedi i risultati. Controlla che gli eventi restituiti corrispondano a ciò di cui hai bisogno. Evita funzioni di aggregazione come groupBy(), count() o timeChart() se desideri eventi di log individuali.
4. Esporta i log. Dai risultati della ricerca, fai clic su Salva > Esporta dati su file.
5. Scegli il formato del file.
   • Testo semplice (.txt): Esporta il campo @rawstring, preservando le righe di log originali. Migliore per LogTotal quando la fonte contiene testo in stile syslog.
   • JSON (.json): Esporta oggetti evento completi, inclusi campi analizzati e metadati. Ottimo quando hai bisogno di eventi strutturati.
   • CSV (.csv): Esporta i campi selezionati in una tabella. Utile per la reportistica, ma meno adatto per LogTotal. Seleziona ‘Seleziona tutto’ in ‘Campi da esportare’.
6. Scarica. Inserisci un nome file e fai clic su Esporta per salvare il file localmente.

Limitazioni. L’esportazione in testo semplice richiede che il contenuto originale del log sia disponibile in @rawstring. Se manca quel campo, esporta invece gli eventi completi come JSON. Per set di dati di grandi dimensioni, restringi l’intervallo temporale o utilizza l’API di query. Le esportazioni di ricerca non aggregate possono contenere eventi in un ordine diverso rispetto ai risultati dell’interfaccia utente.

Carica, sanifica e rivedi in LogTotal

1. Carica. Apri logtotal.com e trascina il file.
2. Sanifica. 
3. Rivedi. 

Quando qualcosa va storto