팔로우 Cortex XSIAM은 Cortex XDR과 동일한 XQL 쿼리 API를 사용합니다: 쿼리를 시작하고, 결과를 기다리고, 1,000행 이상의 경우에는 스트림을 사용합니다. 차이점은 데이터에 있습니다. 서드파티 로그는 보통 <vendor>_<product>_raw로 명명된 원시 데이터셋에 저장되고, 원본 로그 라인은 _raw_log 필드에 위치합니다. 해당 필드를 선택하면 소스에서 보낸 것과 정확히 동일한 데이터를 내보낼 수 있습니다.
XSIAM은 Palo Alto Networks의 SOC 플랫폼이며, 이는 2024년 계약 이후 많은 QRadar SaaS 고객들이 이동한 곳입니다. Prime Core에는 24,000개 이상의 고유 탐지 규칙이 있으며, 676개의 MITRE ATT&CK 기법과 매핑되어 있습니다. 다음은 데이터를 가져오고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.
시작하기 전에
API 키와 URL. XQL 쿼리를 실행할 수 있는 역할로 키를 생성하십시오. 키, ID 및 이에 표시된 API URL을 기록해 두십시오.
데이터셋 찾기. 쿼리 빌더에서 데이터셋 목록을 나열하십시오 (dataset = 에서 제안을 받을 수 있습니다). 서드파티 원시 데이터는 <vendor>_<product>_raw 패턴을 따릅니다, 예를 들어 fortinet_fortigate_raw와 같습니다. 엔드포인트 원격 측정 데이터는 xdr_data에 있습니다.
핫 및 콜드 스토리지. 최근 데이터는 핫 스토리지에 있으며 빠르게 쿼리할 수 있습니다. 오래된 데이터는 콜드 스토리지에 있으며, 이를 쿼리하려면 별도의 접근 방식이 필요하고 쿼터가 더 많이 소모됩니다.
XQL API로 내보내기
FortiGate 데이터셋에서 원시 라인을 얻으려면:
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
start_xql_query와 get_query_results를 통해 실행하고 (1,000행 이상일 경우 get_query_results_stream 사용), Cortex XDR 가이드와 같이 처리합니다. 그런 다음 JSON을 원시 라인으로 변환합니다:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
소스를 아우르는 정규화된 데이터를 위해서는 데이터 모델 (XDM)을 대신 쿼리하십시오. 일관된 필드 이름을 얻을 수 있지만, 원래의 문구는 아닙니다.
LogTotal에 업로드, 정리 및 검토
- 업로드. 열기 logtotal.com 그리고 파일을 드롭하십시오: _raw_log에서 가져온 원시 라인 또는 JSON 행.
- 정리.
- 검토.
문제가 발생했을 때
| 증상 | 가능성 있는 원인 | Fix |
|---|---|---|
| 데이터셋을 찾을 수 없음 | 귀하의 테넌트에서 이름이 다름 | 쿼리 빌더에서 데이터셋 목록 나열 |
| _raw_log가 비어 있음 | 소스가 구조화된 데이터로 수집됨 | 파싱된 필드를 대신 내보내십시오 |
| 정확히 1,000개의 결과 | 스트림이 사용되지 않음 | get_query_results_stream 사용 |
| 쿼터 오류 | XQL 쿼터 소진, 또는 콜드 스토리지 쿼리 | 창을 좁히십시오; 쿼터를 확인하십시오 |
| 오래된 데이터 누락 | 콜드 스토리지에 있음 | 콜드 스토리지를 쿼리하거나 복원하십시오 |
FAQ
Raw 또는 XDM?
LogTotal이라면 Raw (_raw_log), 소스의 원본 형식을 유지하기 때문입니다. 많은 소스에서 동일한 필드가 필요하다면 XDM.
QRadar SaaS에서 이동했습니다. 내 오래된 데이터가 여기에 있습니까?
이는 귀하의 마이그레이션에 따라 달라집니다. 어느 데이터셋이 이전된 기록을 보유하고 있는지 확인하십시오.
