Come Esportare i Log di LogPoint

Usa l’API di ricerca di LogPoint, che funziona in due chiamate allo stesso endpoint, /getsearchlogs. La prima chiamata invia la tua query, intervallo di tempo e repos, e restituisce un search_id. La seconda chiamata invia quel search_id e restituisce le righe una volta che la ricerca è conclusa. Entrambe le chiamate sono POST codificati in formato form, autenticati con il tuo nome utente e chiave segreta.

LogPoint è un popolare SIEM in Europa e l’API di ricerca è il modo più pulito per ottenere una definita porzione dei suoi dati. Prime Core ha 19.598 regole di rilevamento per LogPoint, mappate a 664 tecniche MITRE ATT&CK. Di seguito è mostrato come estrarre i log, sanificarli e indagarli gratuitamente in LogTotal.

Prima di iniziare

La tua chiave segreta. Ogni chiamata API utilizza il tuo nome utente LogPoint e la chiave segreta. Trovi la chiave nelle impostazioni della chiave di accesso del tuo profilo utente. Trattala come una password.

Nomi dei repos. Le ricerche vengono eseguite sui repos, scritti come <ip>:5504/<repo>, per esempio 127.0.0.1:5504/_logpoint. La stessa famiglia di endpoint li elenca per te (getalloweddata con tipo logpoint_repos).

Intervallo di tempo. time_range accetta sia un preset come “Ultime 24 ore” che una coppia di secondi epoch. Per il lavoro sugli incidenti, usa la coppia epoch; date -d ‘2026-10-19T00:00:00Z’ +%s lo calcola.

Esporta con l’API di ricerca

LP="https://logpoint.example.com"

# 1. avvia la ricerca (2026-10-19 00:00 UTC a 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. recupera i risultati finché la ricerca non è conclusa
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Mantieni la query come filtro. Una query con | chart o altre aggregazioni restituisce righe aggregate, non log. Il log grezzo solitamente si trova nel campo msg.

Carica, sanifica e rivedi in LogTotal

1. Carica. Apri logtotal.com e inserisci il file.
2. Sanifica.
3. Rivedi.

Come appare sui dati reali.

Quando qualcosa va storto