Sekoiaログをエクスポートする方法

Sekoia.ioのイベント検索APIを3つのステップで使用します。クエリと時間枠を指定して検索ジョブを作成（POST /v1/sic/conf/events/search/jobs）、ジョブが完了するまで待ち、その後に1,000件までのページ単位でイベントを読みます。 イベントをエクスポート イベントページのボタンも使用できますが、500件で止まります。大容量の場合、Sekoiaは大規模エクスポートAPIと独自のsekoia-event-exporterツールを提供しています。

Sekoia.ioはヨーロッパのSOCプラットフォームで、そのイベントストアは調査中にユーザーが最初に見る場所です。Prime Coreには676のMITRE ATT&CK技術にマッピングされた23,983の検出ルールがあります。以下はイベントを取得し、それらをサニタイズしてLogTotalで無料で調査する方法です。

無料で始める

始める前に

APIキー。 Sekoia.ioでイベントを検索する権限を持ったAPIキーを作成します。検索には読み取り専用で十分ですが、大規模エクスポートにはSIC_MASSIVE_EXPORT_EVENTSの権限が必要です。

あなたの地域のAPIホスト。 デフォルトはhttps://api.sekoia.ioです。他の地域には独自のホストがあります。例えば、https://api.usa1.sekoia.io。

クエリ言語。 APIはイベントページと同じクエリを受け付けます。以下の例はクラシックな「dork」構文（term_lang: dork）を使用しています。まずUIでクエリを構築してテストしてください。

イベント検索APIでエクスポート

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. 検索ジョブを作成
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. ジョブが完了するまで待つ（ステータス2）
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. イベントを1,000件ずつ読む
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

イベントは最新のものから返ってきます。失敗したジョブはステータス2に達しないため、定期使用のためにスクリプトを記述する場合はタイムアウトを追加してください。

大容量エクスポートの場合、完了したジョブで大規模エクスポートを開始（POST /v1/sic/conf/events/search/jobs//export）、タスクを待ってからダウンロードリンクを取得します。PyPIのsekoia-event-exporterパッケージはこのワークフローをラップしています。

LogTotalでのアップロード、サニタイズ、およびレビュー

1. アップロード。 開く logtotal.com そしてファイルをドロップインします。
2. サニタイズ。 
3. レビュー。 

問題が発生したとき