Devo 로그 내보내는 방법

Devo Query API를 사용하세요: LINQ 쿼리, 시간 범위 및 출력 모드를 귀하의 지역 /search/query 엔드포인트로 전송하며 API 토큰 또는 키와 비밀로 인증합니다. JSON 모드를 요청하면 구조화된 이벤트를 얻을 수 있고, 원시 테이블에서 메시지 필드를 선택하여 원래 라인을 되찾을 수 있습니다. 공식 Python SDK(devo-sdk)는 curl보다 코드를 선호한다면 동일한 API를 래핑합니다.

Devo는 대량의 보안 및 운영 데이터를 클라우드에 저장하며 종종 오랜 보존 기간을 가집니다. Prime Core는 664개의 MITRE ATT&CK 기술에 매핑된 23,653개의 Devo 탐지 규칙을 가지고 있습니다. 아래는 데이터를 추출하고, 정리 및 무료로 LogTotal에서 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

자격 증명. 필요한 테이블에 대한 액세스 권한을 가지고 있는 Devo 도메인 자격 증명 설정에서 API 토큰 또는 API 키와 비밀을 만듭니다.

귀하의 지역의 엔드포인트. Query API 호스트는 귀하의 도메인이 어디에 위치해 있는지에 따라 달라지며, 예를 들어 apiv2-us.devo.com 또는 apiv2-eu.devo.com 입니다.

테이블 이름. Devo는 데이터를 box.unix 또는 firewall.fortinet.traffic 같은 테이블에 저장합니다. 데이터 검색 영역에서 귀하의 테이블을 찾아 먼저 그곳에서 쿼리를 작성하세요.

Query API를 사용한 내보내기

curl -sS -X POST "https://apiv2-eu.devo.com/search/query" 
  -H "Authorization: Bearer $DEVO_TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "query": "from box.unix where hostname = "web-03" select eventdate, hostname, message",
    "from": 1792368000,
    "to": 1792454400,
    "mode": {"type": "json/simple"}
  }' > devo_web03_1019.json

위의 from 및 to 값은 2026-10-19 00:00 UTC에서 2026-10-20 00:00 UTC에 해당하는 epoch 초입니다. 응답이 한 JSON 객체 당 한 줄인 경우 그대로 업로드 합니다. 배열인 경우, jq -c ‘.[]’로 평탄화합니다. 원시 라인의 경우 메시지를 추출합니다.

Python 대안. pip install devo-sdk 한 다음 devo.api 패키지에서 API 클라이언트를 사용하여 토큰, 동일한 쿼리 및 날짜를 입력합니다. 키 및 비밀 인증을 위한 요청 서명을 처리합니다.

LogTotal에 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 및 파일을 드롭합니다.
2. 정리.
3. 검토.

문제가 발생했을 때