SentinelOneログのエクスポート方法

SentinelOneはエクスポートに値する3種類のデータを保持しています：エンドポイントテレメトリ、脅威、およびアクティビティ（コンソールでユーザーとエージェントが行った操作の監査履歴）。テレメトリはSingularity Data Lakeに保存されており、独自のガイドがあります。脅威とアクティビティは管理API (https://<console>.sentinelone.net/web/api/v2.1) から、ApiTokenヘッダーを使い、JSONフォーマットでページ単位、カーソルを使用して取得されます。

SentinelOneで保護されたネットワークで問題が発生した場合、アクティビティログはしばしば不快な質問への答えとなります。誰がそのエージェントを無効にしましたか？ 誰がその除外項目を追加しましたか？ 誰が脅威を無害とマークしましたか？ Prime CoreはSentinelOneに対して14,741の検出ルールがあり、644のMITRE ATT&CKテクニックにマップされています。以下では、データを取得し、消去し、LogTotalで無料で調査する方法を示します。

無料で始める

始める前に

APIトークン。 データを保持するアカウントまたはサイトでビュー権限を持つサービスユーザーを作成する（または自身のユーザーを使用する）、そのAPIトークンを生成します。トークンは期限切れになりますので、期限を書き留めてください。

コンソールのURL。 あなたがログインするホスト名です。例：https://usea1-example.sentinelone.net

アクティビティと脅威をエクスポートする

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

脅威に対しては、/activitiesを/threatsに置き換えて、別のファイルに保存します。どちらのエンドポイントも、サイトIDやアクティビティタイプなど、さらなるフィルタを受け付けます。

アクティビティで探すべきこと

エージェントのアンインストール、無効化、または保護レベルの低下に注意してください。特に広範囲のパスについては、新しい除外設定に注意してください。調査なしで解決済みまたは無害とマークされた脅威やポリシーの変更を確認してください。不明な場所からのコンソールログインも注視してください。これらのいずれかが、事件の直前または中に発生した場合、再調査する価値があります。

LogTotalでのアップロード、サニタイズ、レビュー

1. アップロード。 開く logtotal.com ファイルをドロップします。
2. サニタイズ。 
3. レビュー。 

問題が発生した場合