LogPoint 로그 내보내기 방법

LogPoint의 검색 API를 사용하세요. 이 API는 같은 엔드포인트 /getsearchlogs에 대한 두 번의 호출로 작동합니다. 첫 번째 호출은 쿼리, 시간 범위 및 레포를 전송하고 search_id를 반환합니다. 두 번째 호출은 그 search_id를 전송하여 검색이 완료되면 행을 반환합니다. 두 호출 모두 사용자 이름과 비밀 키로 인증된 폼 인코딩 POST입니다.

LogPoint는 유럽에서 인기 있는 SIEM이며, 검색 API는 정의된 데이터 슬라이스를 가장 깔끔하게 추출하는 방법입니다. Prime Core는 LogPoint에 대한 19,598개의 탐지 규칙을 보유하고 있으며, 이는 664개의 MITRE ATT&CK 기술에 맵핑되어 있습니다. 아래는 로그를 추출하고, 정리하며, LogTotal에서 무료로 조사하는 방법입니다.

시작하기 전에

당신의 비밀 키입니다. 모든 API 호출에는 LogPoint 사용자 이름과 비밀 키가 포함됩니다. 키는 사용자 프로필의 액세스 키 설정에서 찾을 수 있습니다. 이를 비밀번호처럼 취급하세요.

레포 이름. 검색은 <ip>:5504/<repo> 형식의 레포에서 실행됩니다. 예를 들어 127.0.0.1:5504/_logpoint 같은 형식입니다. 같은 엔드포인트 패밀리는 이를 위해 (logpoint_repos 유형의 getalloweddata) 레포 목록을 제공합니다.

시간 범위. time_range는 “마지막 24시간” 같은 프리셋이나 에포크 초 쌍을 사용합니다. 사건 작업의 경우 에포크 쌍을 사용하세요; ‘date -d ‘2026-10-19T00:00:00Z’ +%s’ 명령어로 계산할 수 있습니다.

검색 API를 사용한 내보내기

LP="https://logpoint.example.com"

# 1. 검색 시작 (2026-10-19 00:00 UTC부터 2026-10-20 00:00 UTC까지)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. 검색이 최종 완료될 때까지 결과 가져오기
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

쿼리를 필터로 유지하세요. | 차트나 기타 집계가 포함된 쿼리는 로그가 아닌 집계된 행을 반환합니다. 원시 로그는 보통 msg 필드에 있습니다.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 그리고 파일을 드롭하세요.
2. 정리.
3. 검토.

실제 데이터에서의 모습.

문제가 발생했을 때