Datadog Cloud SIEM 로그 내보내기 방법

Cloud SIEM은 Datadog 로그 관리 상에서 실행되므로 “Cloud SIEM 로그”를 내보낸다는 것은 그 뒤에 있는 로그들을 내보낸다는 것을 의미합니다. Logs Search API, POST /api/v2/logs/events/search를 사용하고, API 키와 애플리케이션 키를 사용하여 페이지가 더 이상 없을 때까지 커서를 따라가십시오. 각 페이지에는 최대 1,000개의 로그가 포함될 수 있습니다. 인덱스 보유 기간을 초과하는 기록의 경우 S3, GCS 또는 Azure Storage에 있는 로그 아카이브를 읽거나 복원하십시오. 보안 신호는 별도의 API입니다.

Datadog은 많은 클라우드 네이티브 팀들이 이미 로그를 보관하고 있는 곳으로, 조사 단면의 자연스러운 출처가 됩니다. Prime Core는 Datadog에 대해 23,983개의 탐지 규칙을 제공하며, 이는 676 MITRE ATT&CK 기술과 매핑됩니다. 아래는 로그를 내보내고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

두 가지 키. Logs Search API는 API 키(DD-API-KEY)와 애플리케이션 키(DD-APPLICATION-KEY)가 필요합니다. 애플리케이션 키는 로그를 읽을 권한이 있는 사용자 또는 서비스 계정에 속해야 하며, 범위가 지정된 경우 로그 읽기 접근 권한이 필요합니다.

귀하의 Datadog 사이트. API 호스트는 귀하의 사이트에 따라 다릅니다: api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com 및 기타. 귀하의 로그인 URL과 일치하는 것을 사용하십시오.

보유 기간. 인덱싱된 로그는 인덱스가 유지되는 동안 검색 가능합니다. 더 오래된 로그는 설정한 아카이브에만 존재합니다.

Logs Search API로 내보내기

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# raw messages only
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

API에는 제한이 있습니다. 큰 창의 경우 시간이 조금 걸릴 수 있으며, 429가 표시되면 처리를 중단하십시오.

이전 로그: 아카이브

로그 아카이브를 구성한 경우, Datadog은 날짜 및 시간별로 구성된 압축된 JSON 파일을 버킷에 씁니다. 필요한 시간을 다운로드하고 압축을 풀십시오:

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

LogTotal에 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 파일을 드롭하십시오.
2. 정리. 
3. 검토. 

문제가 발생할 경우