팔로우 Helix 검색 API를 통해 검색을 실행하세요: x-fireeye-api-key 헤더에 API 키를 넣고 본문에 쿼리를 포함하여 https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search 에 POST 합니다. 지역 인스턴스는 helix.eu.fireeye.com과 같은 자체 호스트를 사용합니다. 결과는 JSON으로 반환되며, 원래 로그 라인은 raw message 필드에 저장됩니다.
이전에 FireEye Helix로 불리던 Trellix Helix는 최근 문서에서 Helix Enterprise로 불립니다. Trellix Helix의 탐지 콘텐츠와 로그 검색을 결합합니다. Prime Core는 Trellix Helix를 위한 18,667개의 탐지 규칙을 보유하고 있으며, 이는 632개의 MITRE ATT&CK 기술에 매핑됩니다. 아래는 LogTotal에서 무료로 이벤트를 가져오고, 정제하고, 조사하는 방법입니다.
시작하기 전에
API 키. 에서 Trellix Identity and Access Management 에서 생성하세요. API 키검색 쿼리에 필요한 검색 범위와 함께.
인스턴스 ID. 위치 Helix 인터페이스의 왼쪽 상단에 표시되며 모든 API URL에 포함됩니다.
쿼리 언어. Helix는 MQL을 대체한 TQL을 사용합니다. 필드 없이 자유 텍스트 용어는 raw message 인덱스와 일치합니다. 먼저 Helix 검색 페이지에서 쿼리를 작성하고 테스트하세요.
검색 API를 사용하여 내보내기
HELIX="https://apps.fireeye.com/helix/id/<instance-id>"
curl -sS -X POST "$HELIX/api/v1/search"
-H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json'
-d '{"query": "hostname:"web-03""}'
> helix_web03_1019.json
구조를 파악한 후, jq -c로 줄 하나에 하나의 이벤트로 평탄화하고, 소스가 텍스트일 경우 jq -r로 raw 필드를 꺼냅니다.
LogTotal에서 업로드, 정제 및 검토
- 업로드. 열기 logtotal.com 에 파일을 드롭합니다.
- 정제.
- 검토.
실제 데이터에서의 예.
문제가 발생했을 때
| 증상 | 가능한 원인 | Fix |
|---|---|---|
| 401 또는 403 | 키의 범위가 누락되었거나 잘못된 헤더 | 키의 범위를 확인하세요; x-fireeye-api-key를 사용하세요 |
| 404 | 잘못된 인스턴스 ID 또는 지역 호스트 | UI에서 인스턴스 ID를 복사하세요; 지역의 호스트를 사용하세요 |
| 쿼리 오류 | TQL 쿼리 내 MQL 구문 | TQL로 재작성하세요; UI에서 테스트하세요 |
| 결과가 잘렸습니다 | 결과 제한 | 시간 범위를 나누세요 |
FAQ
이거 Trellix EDR 검색과 동일한가요?
아니요. Trellix EDR에는 자체 실시간 검색 API가 있습니다. 이 가이드는 Helix 로그 검색을 다룹니다.
Helix 경고는 어떻습니까?
경고는 자체 엔드포인트(/api/v3/alerts)를 가지고 있습니다. LogTotal에서는 그 뒤의 이벤트를 내보내세요.
