SentinelOne 로그 내보내는 방법

SentinelOne은 내보낼 가치가 있는 데이터로 세 가지를 유지합니다: 엔드포인트 원격 측정, 위협 및 활동(사용자와 에이전트가 콘솔에서 수행한 작업의 감사 추적). 원격 측정은 독립된 가이드가 있는 싱귤러리티 데이터 레이크에 저장되고 위협과 활동은 ApiToken 헤더를 사용하여 관리 API(https://<console>.sentinelone.net/web/api/v2.1)에서 JSON으로 페이지별 커서를 통해 나옵니다.

SentinelOne 보호 네트워크에서 문제가 발생하면 활동 로그가 불편한 질문에 자주 답합니다. 누가 그 에이전트를 비활성화했나요? 누가 그 제외 항목을 추가했나요? 누가 위협을 악성으로 표시했나요? Prime Core는 644개의 MITRE ATT&CK 기법에 매핑된 SentinelOne용 탐지 규칙 14,741개를 제공합니다. 아래는 데이터를 추출하고, 정제하고, LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

API 토큰. 데이터를 보유한 계정 또는 사이트에서 보기 권한이 있는 서비스 사용자(또는 자신의 사용자)를 생성하고 해당 API 토큰을 생성합니다. 토큰은 만료되므로 유효 기간을 표시해 두세요.

콘솔 URL입니다. 로그인하는 호스트 이름으로, 예를 들어 https://usea1-example.sentinelone.net입니다.

활동 및 위협 내보내기

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

위협의 경우, /activities를 /threats로 교체하고 다른 파일에 저장합니다. 두 엔드포인트 모두 사이트 ID나 활동 유형과 같은 더 많은 필터를 허용합니다. 

활동에서 무엇을 찾아야 하는가

에이전트가 제거되거나 비활성화되거나 보호 모드가 낮아지는 것을 주의하십시오. 특히 광범위한 경로로 설정된 새로운 제외 사항을 주의하세요. 조사가 없이 해결되거나 악성으로 표시된 위협 및 정책 변경을 확인하세요. 낯선 위치에서의 콘솔 로그인도 꼼꼼히 살펴보세요. 이러한 중 하나가 사건 발생 직전 또는 동안에 발생했다면 두 번째 검토가 필요합니다.

LogTotal에 업로드, 정제 및 검토

1. 업로드. 열기 logtotal.com 에 파일을 드롭하세요.
2. 정제. 
3. 검토. 

문제 발생 시