Segui In NetWitness Investigate, esegui la tua query nella vista Eventi, seleziona gli eventi (o tutti), e scarica i log. Scegli Testo per ottenere le righe di log grezze, oppure JSON per eventi strutturati. I download di grandi dimensioni vengono eseguiti come lavori; raccoglierai il file dal vassoio Job quando è pronto. Di default, un’esportazione può includere fino a 100.000 sessioni.
NetWitness, precedentemente RSA NetWitness, memorizza i log su Log Decoder e li rende ricercabili tramite Concentratori e Broker. Prime Core ha 18.461 regole di rilevamento per NetWitness, mappate a 631 tecniche MITRE ATT&CK. Di seguito come ottenere i log, sanitizzarli e indagarli gratuitamente in LogTotal.
Prima di iniziare
Accesso a Investigate. Hai bisogno di un ruolo che possa investigare il servizio (Broker o Concentratore) che contiene i log.
Imposta il formato di esportazione una sola volta. In Profilo → Preferenze → Investigazione, la Preferenza di Formato Log di Esportazione decide il formato predefinito per i download: Testo, XML, CSV o JSON. Scegli Testo per i log grezzi. Se lasciato vuoto, NetWitness chiederà ogni volta.
Conservazione. Quanto indietro puoi andare dipende dall’archiviazione del Log Decoder. I log più vecchi potrebbero esistere solo in un archiviatore, se ne hai uno.
Esporta da Investigate
- Apri Investigate → Eventi, scegli il servizio e imposta l’intervallo di tempo.
- Query con chiavi meta (esempio sotto).
- Esegui la query e controlla il conteggio.
- Seleziona gli eventi che desideri, o nessuno per prenderli tutti, e scegli l’opzione di download per log (Testo o JSON).
- Apri il vassoio Job (l’icona del cronometro) e scarica il file quando il lavoro è finito.
Una query per un host Linux appare così. Per i log di Windows, device.type = ‘winevent_nic’ è il parser comune dei log.
device.type = 'rhlinux' && alias.host = 'web-03'
Per un singolo evento, la scheda Testo dei dettagli dell’evento ha le proprie opzioni di download per il log grezzo.
The Impostazione Massima Esportazione Sessione configura quante sessioni può includere un’esportazione (100.000 per default). Per finestre più grandi, dividi per tempo.
Opzione 2: REST API sui servizi
Concentratori e Broker espongono un’interfaccia REST che può eseguire query e restituire contenuti di log. Questo si adatta alle esportazioni tramite script.
Carica, sanitizza e revisiona in LogTotal
- Carica. Apri logtotal.com e inserisci il file.
- Santifica.
- Revisiona.
Come appare sui dati reali.
Quando va storto
| Sintomo | Probabile causa | Fix |
|---|---|---|
| Il download contiene sessioni di rete o meta, non log | Opzione di download sbagliata | Scegli il download di log, non meta o PCAP |
| L’esportazione si ferma a 100.000 sessioni | Impostazione Massima Esportazione Sessione limite | Dividi per tempo, o chiedi a un amministratore di aumentare il limite |
| Nessun file appare | È un lavoro in background | Raccoglilo dal vassoio Job |
| La query non restituisce nulla | Servizio sbagliato o valori delle chiavi meta | Controlla i valori di device.type nel pannello meta |
FAQ
Testo o JSON?
Testo quando vuoi le righe di log originali, adatto a fonti in stile syslog. JSON quando vuoi il meta parsato di NetWitness accanto a ciascun evento.
Posso esportare anche i pacchetti?
Sì, come PCAP, ma quelli sono traffico di rete, non log. LogTotal lavora con i log.
