Sekoia 로그 내보내기 방법

Sekoia.io 이벤트 검색 API 를 세 단계로 사용하세요. 쿼리와 시간 창으로 검색 작업을 생성하세요 (POST /v1/sic/conf/events/search/jobs), 작업이 완료될 때까지 기다렸다가 최대 1,000 개씩 페이지로 이벤트를 읽으세요. 이벤트 내보내기 이벤트 페이지의 버튼도 작동하지만 500 개 이벤트에서 멈춥니다. 대량을 다룰 때는 Sekoia 가 대량 내보내기 API 와 Sekoia 고유의 sekoia-event-exporter 도구를 제공합니다.

Sekoia.io 는 유럽의 SOC 플랫폼이며, 이 플랫폼의 이벤트 저장소는 사용자가 조사를 시작할 때 자주 처음 확인하는 곳입니다. Prime Core 에는 23,983 개의 탐지 규칙이 있으며, 676 MITRE ATT&CK 기법에 매핑되어 있습니다. 아래는 이벤트를 추출하고, 정리하며 LogTotal 에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작 전에

API 키 Sekoia.io 에서 이벤트 검색 권한으로 하나 생성하세요. 읽기 전용 상태는 검색에 충분하고, 대량 내보내기에는 SIC_MASSIVE_EXPORT_EVENTS 권한이 필요합니다.

지역 API 호스트 기본 값은 https://api.sekoia.io 입니다. 다른 지역은 고유한 호스트를 가지고 있으며, 예를 들어 https://api.usa1.sekoia.io 와 같습니다.

쿼리 언어 API 는 이벤트 페이지와 동일한 쿼리를 수용합니다. 아래 예제는 클래식 “dork” 구문(term_lang: dork)을 사용합니다. UI 에서 쿼리를 먼저 빌드하고 테스트하세요.

이벤트 검색 API 로 내보내기

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. 검색 작업 생성하기
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. 작업 완료 상태(상태 2)가 될 때까지 대기
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. 이벤트 읽기, 한 번에 1,000개씩
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

이벤트는 최신순으로 돌아옵니다. 실패한 작업은 절대 상태 2에 도달하지 않으니 정기적인 사용을 위해 스크립트작업에 타임아웃을 추가하세요.

대량 내보내기의 경우, 완료된 작업에서 대량 내보내기를 시작하세요 (POST /v1/sic/conf/events/search/jobs//export), 작업 대기 후 다운로드 링크를 가져옵니다. PyPI 의 sekoia-event-exporter 패키지는 이 작업 흐름을 포괄합니다.

LogTotal 에 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 파일을 드롭하세요. 
2. 정리. 
3. 검토. 

문제가 발생했을 때