Jak eksportować logi Falcon LogScale

Wyślij swoje zapytanie do LogScale query API, POST /api/v1/repositories/<repo>/query, i poproś o application/x-ndjson: otrzymujesz jedno zdarzenie na linię. Oryginalna linia logu znajduje się w @rawstring, więc jedno wywołanie jq zamienia eksport z powrotem na surowe logi. Alternatywnie, eksportuj logi bezpośrednio z interfejsu LogScale jako zwykły tekst, JSON lub CSV.

LogScale (dawniej Humio) jest zbudowany do wyszukiwania logów o dużej objętości, dlatego często zawiera najpełniejszą dokumentację, jaką ma zespół. Prime Core ma 23 747 reguł wykrywania dla Falcon LogScale, przypisanych do 674 technik MITRE ATT&CK. Poniżej przedstawiono, jak wydobyć dane, oczyścić je i zbadać za darmo w LogTotal.

Ten przewodnik dotyczy autonomicznego LogScale, w chmurze lub hostowanego samodzielnie. Jeśli używasz LogScale w konsoli Falcon jako części Next-Gen SIEM, konsola i jej API są inne.

Rozpocznij za darmo

Zanim zaczniesz

Token. Utwórz token API z uprawnieniami do przeszukiwania repozytorium. Traktuj go jak hasło.

Podstawowy adres URL i repozytorium. Klienci chmurowi używają URL-a swojego regionu, na przykład https://cloud.us.humio.com. Klastery hostowane samodzielnie używają własnej nazwy hosta. Potrzebujesz również nazwy repozytorium lub widoku.

Przechowywanie. Każde repozytorium ma własny okres przechowywania. Sprawdź to, zanim obiecasz komuś tydzień historii.

Eksport przez API zapytań

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# tylko surowe linie
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

Wartości początkowe i końcowe to milisekundy epoki; działają również wartości względne takie jak „24h”. Składnia date -d to GNU, więc na macOS obliczaj znaczniki czasu w inny sposób.

Utrzymaj zapytanie jako filtr. Wszystko, co agreguje (groupBy, count, timechart) zwraca agregat, a nie zdarzenia. Dla bardzo długich lub ciężkich wyszukiwań użyj API zadań zapytań, które uruchamia wyszukiwanie asynchronicznie i pozwala na zapytania o wyniki.

Eksportuj logi przez interfejs wyszukiwania Falcon LogScale

W przypadku szybkich dochodzeń lub mniejszych próbek logów możesz eksportować zdarzenia bezpośrednio z interfejsu webowego Falcon LogScale bez użycia API.

1. Otwórz wyszukiwanie. Zaloguj się do Falcon LogScale, wybierz repozytorium lub widok zawierający twoje logi i otwórz Wyszukiwanie stronę.
2. Uruchom zapytanie. Wprowadź filtr wyszukiwania, na przykład host=web-03. Ustaw zakres czasowy i uruchom wyszukiwanie.
3. Przejrzyj wyniki. Sprawdź, czy zwrócone zdarzenia są zgodne z twoimi potrzebami. Unikaj funkcji agregacyjnych, takich jak groupBy(), count() lub timeChart(), jeśli potrzebujesz indywidualnych zdarzeń logów.
4. Eksportuj logi. Z wyników wyszukiwania kliknij Zapisz > Eksportuj dane do pliku.
5. Wybierz format pliku.
   • Zwykły tekst (.txt): Eksportuje pole @rawstring, zachowując oryginalne linie logu. Najlepsze dla LogTotal, gdy źródło zawiera tekst w stylu syslog.
   • JSON (.json): Eksportuje kompletne obiekty zdarzeń, w tym sparowane pola i metadane. Najlepsze, gdy potrzebujesz zdarzeń strukturalnych.
   • CSV (.csv): Eksportuje wybrane pola do tabeli. Przydatne do raportowania, ale mniej odpowiednie dla LogTotal. Wybierz ‘Wybierz wszystko’ w ‘Pola do eksportu’.
6. Pobierz. Wprowadź nazwę pliku i kliknij Eksportuj aby zapisać plik lokalnie.

Ograniczenia. Eksport w formacie zwykłego tekstu wymaga, aby oryginalna zawartość logu była dostępna w polu @rawstring. Jeśli tego pola brakuje, eksporteruj kompletne wydarzenia jako JSON. Dla dużych zestawów danych, zawęź zakres czasowy lub użyj API zapytań. Eksporty wyszukiwań nieagregowanych mogą zawierać zdarzenia w innej kolejności niż wyniki w interfejsie użytkownika.

Przesyłaj, oczyszczaj i przeglądaj w LogTotal

1. Przesyłaj. Otwórz logtotal.com i przeciągnij plik. 
2. Oczyść. 
3. Przegląd. 

Kiedy coś pójdzie nie tak