팔로우 API 토큰을 생성하고, Spotter 쿼리를 Securonix REST API(/ws/spotter/index/search)를 통해 실행하여 이벤트를 JSON으로 저장합니다. 출처가 원시 텍스트를 보낸 경우, 원래 줄은 보통 원시 이벤트 필드에 저장됩니다. UI의 Spotter에서 결과를 내보낼 수도 있습니다.
Securonix는 UEBA 및 SIEM을 위한 대량의 활동 데이터를 수집하여 조사의 일부를 내보내기에 적합한 환경을 제공합니다. Prime Core는 Securonix를 위한 14,283개의 탐지 규칙을 가지고 있으며, 620개의 MITRE ATT&CK 기술과 맵핑됩니다. 아래는 데이터를 내보내고, 정리하며, LogTotal에서 무료로 조사하는 방법입니다.
시작하기 전에
API 접근. API 사용이 허용된 Securonix 사용자가 필요합니다. 토큰은 해당 사용자의 자격 증명으로 생성되며, 선택한 유효 기간을 가집니다.
임차인의 URL. 클라우드 임차인은 보통 https://<tenant>.securonix.net/Snypr과 같이 보입니다.
보존. 핫 데이터는 Spotter에서 직접 검색할 수 있습니다. 오래된 데이터는 추가 검색 단계를 필요로 하는 장기 저장소에 있을 수 있습니다.
REST API로 내보내기
BASE="https://<tenant>.securonix.net/Snypr"
# 1. 하루 동안 유효한 토큰
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1"
"$BASE/ws/token/generate")
# 2. 시간 창을 위한 Spotter 쿼리
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search"
--data-urlencode 'query=index=activity AND devicehostname="web-03"'
--data-urlencode 'eventtime_from=10/19/2026 00:00:00'
--data-urlencode 'eventtime_to=10/20/2026 00:00:00'
> snx_web03_1019.json
# 3. 한 줄에 하나의 이벤트
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl
LogTotal에서 업로드, 정리 및 검토
- 업로드. 열기 logtotal.com 파일을 드롭하세요.
- 정리. 계속하기 전에 검토하세요.
- 검토.
문제가 발생할 때
| 증상 | 가능한 원인 | Fix |
|---|---|---|
| 토큰 요청 실패 | 잘못된 자격 증명, 또는 사용자가 API를 사용할 수 없음 | 사용자의 API 권한 확인 |
| 결과 없음 | 쿼리 문법, 또는 날짜 형식 불일치 | Spotter에서 쿼리 테스트; 형식 확인 |
| 결과의 일부만 | 페이징 미준수 | 쿼리 ID로 다음 페이지 요청 |
| 오래된 이벤트가 없음 | 데이터가 핫 스토리지에서 이동됨 | 장기 저장소 옵션 확인 |
FAQ
대신 위반 및 위협을 내보낼 수 있나요?
이는 탐지이며 자체 API 호출이 있습니다. LogTotal에는 이와 관련된 활동 이벤트를 내보내세요.
Securonix 온프레미스 버전은 다른가요?
API는 대체로 동일하며, 기본 URL은 여러분의 서버입니다. 버전의 API 가이드를 확인하세요.
