Użyj interfejsów API zapytań XQL. Rozpocznij zapytanie za pomocą /public_api/v1/xql/start_xql_query, które zwraca identyfikator wykonania. Pobierz wyniki za pomocą /public_api/v1/xql/get_query_results w formacie JSON. To wywołanie zwraca do 1 000 wyników w linii; wszystko większe wraca jako identyfikator strumienia, który przekazujesz do /public_api/v1/xql/get_query_results_stream. Uwierzytelnianie wykorzystuje dwa nagłówki: Twój klucz API w Authorization i jego ID w x-xdr-auth-id. […]

Cortex XSIAM używa tych samych interfejsów API zapytań XQL co Cortex XDR: rozpocznij zapytanie, poczekaj na wyniki i użyj strumienia dla czegoś powyżej 1,000 wierszy. Różnicą są dane. Logi z zewnętrznych źródeł trafiają do surowych zestawów danych, zazwyczaj nazywanych <vendor>_<product>_raw, a oryginalny wiersz logu znajduje się w polu _raw_log. Wybierz to pole, a eksport zwróci […]

Zainstaluj LimaCharlie CLI (pip install limacharlie), zaloguj się za pomocą swojego ID organizacji i klucza API, a następnie uruchom zapytanie LCQL używając limacharlie search run dla potrzebnego zakresu czasu, z wyjściem w formacie JSON. Zdarzenia są zwracane w strukturze {routing, event} LimaCharlie. Aby zapewnić ciągły, masowy eksport, skonfiguruj Wyjście do S3, Google Cloud Storage lub […]

Amazon Security Lake przechowuje Twoje dane w S3 jako pliki Parquet w schemacie OCSF, więc nie pobierasz ich bezpośrednio. Przeszukujesz je. Użyj Amazon Athena z poleceniem UNLOAD i formatem = 'JSON’: Athena zapisuje wyniki jako linie JSON w prefiksie S3, który wybierzesz, i to pobierasz. Tabele Security Lake istnieją w bazie danych Glue o nazwie […]

Użyj API wyszukiwania zdarzeń Sekoia.io w trzech krokach. Utwórz zadanie wyszukiwania (POST /v1/sic/conf/events/search/jobs) z zapytaniem i przedziałem czasowym, poczekaj, aż zadanie zostanie zakończone, a następnie odczytaj jego zdarzenia w stronach do 1 000. Funkcja Eksportuj zdarzenia Przycisk na stronie Zdarzenia działa również, ale zatrzymuje się na 500 zdarzeniach. W przypadku dużych wolumenów Sekoia oferuje API […]

Cloud SIEM działa na bazie Datadog Log Management, więc eksportowanie „logów Cloud SIEM” oznacza eksportowanie logów, które się za nim kryją. Użyj Logs Search API, POST /api/v2/logs/events/search, z kluczem API i kluczem aplikacji, i podążaj za kursorem, dopóki nie będzie kolejnej strony; każda strona zawiera do 1 000 logów. Aby uzyskać historię powyżej okresu retencji […]

SentinelOne przechowuje trzy rodzaje danych, które warto eksportować: telemetria końcówek, zagrożenia i działania (ślad audytu tego, co użytkownicy i agenci zrobili w konsoli). Telemetria znajduje się w Singularity Data Lake i ma własny przewodnik. Zagrożenia i działania pochodzą z API zarządzania (https://.sentinelone.net/web/api/v2.1) z nagłówkiem ApiToken, jako JSON, strona po stronie z kursorem. Gdy coś idzie […]

Aby przeprowadzić ukierunkowane pobieranie z Carbon Black Cloud, użyj Platform Search API. Utwórz zadanie wyszukiwania procesów, poczekaj, aż wszystkie backendy odpowiedzą, i pobierz wyniki jako JSON. W przypadku masowego, ciągłego eksportu skonfiguruj Data Forwarder, który zapisuje zdarzenia końcowe, alerty i wykrycia na listach obserwacyjnych do własnego wiadra S3 jako skompresowany JSON. Carbon Black EDR, produkt […]

Uruchom wyszukiwanie przez Helix search API: POST do https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search z kluczem API w nagłówku x-fireeye-api-key i zapytaniem w treści. Regionalne instancje używają własnych hostów, takich jak helix.eu.fireeye.com. Wyniki są zwracane jako JSON, a oryginalna linia logu jest przechowywana w polu surowej wiadomości. Trellix Helix, dawniej FireEye Helix, a w nowszej dokumentacji zwany Helix Enterprise, łączy […]