LimaCharlie 로그 내보내는 방법

LimaCharlie CLI를 설치하세요(pip install limacharlie). 조직 ID와 API 키로 로그인하고, limacharlie search run을 사용하여 필요한 시간 범위로 LCQL 쿼리를 실행하여 JSON 출력을 얻으세요. 이벤트는 LimaCharlie의 {routing, event} 구조로 반환됩니다. 지속적이고 대량의 출력을 원한다면, S3, Google Cloud Storage 또는 다른 대상지로의 출력을 구성하세요.

LimaCharlie는 기본적으로 Insight 데이터 레이크에 1년 동안의 테레메트를 보관하므로, 사후 조사가 특히 유리합니다. Prime Core는 676 MITRE ATT&CK 기술에 매핑된 24,000개 이상의 고유 탐지 규칙을 보유하고 있습니다. 아래에서는 이벤트를 추출하고, 그것들을 정리하고 LogTotal에서 무료로 조사하는 방법을 설명합니다.

무료로 시작하기

시작하기 전에

API 키와 당신의 OID. 둘 다 웹 앱의 접근 관리 → REST API에서 찾을 수 있습니다. 키에 Insight 쿼리에 필요한 권한을 부여하세요.

쿼리는 비용이 듭니다. LCQL 쿼리는 스캔하는 데이터에 따라 과금됩니다. 시뮬레이션 실행을 통해 먼저 견적을 확인하세요. 플랫폼, 이벤트 유형 및 호스트로 먼저 좁힌 뒤 시간 범위를 확장하세요.

이벤트 유형을 알고 있어야 합니다. LimaCharlie는 이벤트를 유형으로 이름짓습니다: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL(윈도우 이벤트 로그) 등. 당신의 질문에 중요한 것들을 선택하세요.

CLI를 사용한 내보내기

pip install limacharlie
limacharlie auth login        # OID와 API 키를 요구합니다

limacharlie search run 
  --query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"' 
  --start $(date -d '2026-10-19T00:00:00Z' +%s) 
  --end $(date -d '2026-10-20T00:00:00Z' +%s) 
  --oid <oid> --output json > lc_ws042_1019.json

LCQL 쿼리는 파이프로 구분된 부분이 있습니다: 센서 선택기(plat == windows), 이벤트 유형, 필터, 그리고 선택적으로 필드의 projection. 출력이 배열이라면 jq -c ‘.[]’로 평탄화하세요.

CLI는 또한 평문 설명에서 LCQL 쿼리를 생성할 수 있습니다(limacharlie ai generate-query). 이는 필드 경로를 기억하지 못할 때 도움이 됩니다.

대량: 출력

지속적인 출력을 위해, 웹 앱에 이벤트(그리고 탐지나 감사 로그가 필요하다면 그것들)를 S3, Google Cloud Storage, SIEM 또는 웹훅으로 보내는 출력을 추가하세요. 출력은 생성된 순간부터 데이터를 전송합니다. 기록을 위해서는 Insight 쿼리를 위처럼 실행하세요.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 그리고 파일을 드롭하세요.
2. 정리. 
3. 검토. 

문제가 발생할 때