Śledź Zainstaluj LimaCharlie CLI (pip install limacharlie), zaloguj się za pomocą swojego ID organizacji i klucza API, a następnie uruchom zapytanie LCQL używając limacharlie search run dla potrzebnego zakresu czasu, z wyjściem w formacie JSON. Zdarzenia są zwracane w strukturze {routing, event} LimaCharlie. Aby zapewnić ciągły, masowy eksport, skonfiguruj Wyjście do S3, Google Cloud Storage lub innego miejsca docelowego.
LimaCharlie przechowuje rok telemetrii w swoim jeziorze danych Insight domyślnie, co sprawia, że późniejsze śledztwo jest niezwykle praktyczne. Prime Core posiada ponad 24 000 unikalnych reguł detekcji, zmapowanych na 676 technik MITRE ATT&CK. Poniżej opisano, jak wydobyć zdarzenia, oczyścić je i zbadać za darmo w LogTotal.
Zanim zaczniesz
Klucz API i twój OID. Oba znajdują się w aplikacji webowej pod Zarządzanie dostępem → REST API. Daj kluczowi uprawnienia potrzebne do zapytań Insight.
Zapytania kosztują pieniądze. Zapytania LCQL są rozliczane według ilości przetworzonych danych. Próbne uruchomienia najpierw dają ci szacunkowy koszt. Zawężaj według platformy, rodzaju zdarzenia i hosta zanim rozszerzysz zakres czasu.
Znaj znaj typy zdarzeń. LimaCharlie nazywa zdarzenia według typu: NEW_PROCESS, DNS_REQUEST, NETWORK_CONNECTIONS, WEL (logi zdarzeń Windows) i inne. Wybierz te, które mają znaczenie dla twojego pytania.
Eksportuj za pomocą CLI
pip install limacharlie
limacharlie auth login # prosi o twój OID i klucz API
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
Zapytanie LCQL składa się z części oddzielonych pionowymi kreskami: selektora sensora (plat == windows), typów zdarzeń, filtru i opcjonalnie projekcji pól. Jeśli wyjście jest tablicą, spłaszcz je używając jq -c ’.[]’.
CLI może również generować zapytanie LCQL z opisu w zwykłym języku (limacharlie ai generate-query), co pomaga, gdy nie pamiętasz ścieżek pól.
Masowe: Wyjścia
Aby wykonywać eksport na bieżąco, dodaj Wyjście w aplikacji webowej, które wysyła zdarzenia (oraz wykrycia lub logi audytów, jeśli chcesz) do S3, Google Cloud Storage, SIEM lub webhook. Wyjścia wysyłają dane od momentu ich utworzenia. Aby uzyskać historię, wykonaj zapytanie Insight, jak opisano powyżej.
Prześlij, oczyść i przejrzyj w LogTotal
- Wgraj. Otwórz logtotal.com i wrzuć plik.
- Oczyść.
- Przeanalizuj.
Kiedy coś idzie nie tak
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Błędy uwierzytelniania | Nieprawidłowy OID lub klucz, lub brakujące uprawnienia | Odtwórz klucz z uprawnieniami do zapytań |
| Zapytanie jest wolne lub kosztowne | Zbyt szerokie: wszystkie zdarzenia, wszystkie sensory | Dodaj selektor sensora i typy zdarzeń |
| Brak wyników | Nazwa hosta w złym polu, lub zły typ zdarzenia | Sprawdź ścieżki pól przy użyciu małego zapytania na początku |
| Nic starszego niż rok | Zachowanie danych w Insight | Użyj swojej destynacji Wyjścia dla starszych danych |
FAQ
Czy LimaCharlie może zbierać pliki EVTX z endpointa?
Tak, jako artefakty zebrany z sensora, a logi zdarzeń Windows również są transmitowane jako zdarzenia WEL.
Czy istnieje starszy tryb interaktywnych zapytań?
Tak. Wcześniejsze wersje CLI posiadały interaktywną powłokę zapytań limacharlie z set_output i set_format json. Komenda search run to skryptowalna ścieżka.
