フォローする Helix 検索 API を通して検索を実行します: https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search への POST で、x-fireeye-api-key ヘッダーに API キーを入れ、ボディにクエリを含めます。地域ごとのインスタンスは、helix.eu.fireeye.com のようにそれぞれのホストを使用します。結果は JSON として戻り、元のログ行は raw メッセージフィールドに保持されます。
Trellix Helix（旧 FireEye Helix、最近のドキュメントでは Helix Enterprise と呼ばれる）は、ログ検索と検出コンテンツを組み合わせたものです。Prime Core は、632 の MITRE ATT&CK テクニックにマップされた 18,667 の検出ルールを Trellix Helix に提供しています。以下はイベントを取得し、洗浄して無料で LogTotal で調査する方法です。
始める前に
API キー。 Trellix Identity and Access Management で作成し、 API キー、検索スコープを含む必要があります。
インスタンス ID。 これは Helix インターフェースの左上隅に表示され、すべての API URL に含まれます。
クエリ言語。 Helix は TQL を使用しており、MQL の代わりです。フィールド無しのフリーテキスト用語は、raw メッセージインデックスと照合されます。最初に Helix 検索ページでクエリを構築しテストしてください。
検索 API でエクスポート
HELIX="https://apps.fireeye.com/helix/id/<instance-id>"
curl -sS -X POST "$HELIX/api/v1/search"
-H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json'
-d '{"query": "hostname:"web-03""}'
> helix_web03_1019.json
構造を理解したら、jq -c で一行ごとにフラット化し、ソースがテキストの場合は jq -r で raw フィールドを引き出します。
LogTotal でアップロード、洗浄、レビュー
- アップロード。 開く logtotal.com し、ファイルをドロップします。
- 洗浄。
- レビュー。
実際のデータ上での例。
失敗した場合
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| 401 または 403 | スコープが不足しているキー、または間違ったヘッダー | キーのスコープを確認してください; x-fireeye-api-key を使用 |
| 404 | 間違ったインスタンス ID または地域ホスト | UI からインスタンス ID をコピー; 地域のホストを使用 |
| クエリエラー | TQL クエリでの MQL 構文 | TQL に書き直す; UI でテストする |
| 結果が途中で切れる | 結果の制限 | 時間範囲を分割する |
FAQ
これは Trellix EDR の検索と同じですか？
いいえ。Trellix EDR は独自のリアルタイム検索 API を持っています。このガイドは Helix ログ検索をカバーしています。
Helix アラートについてはどうですか？
アラートには独自のエンドポイント (/api/v3/alerts) があります。LogTotal の場合、背後にあるイベントをエクスポートします。
