Śledź Wygeneruj token API, uruchom kwerendę Spotter poprzez Securonix REST API (/ws/spotter/index/search), i zapisz zdarzenia jako JSON. Gdy źródło przesyłało surowy tekst, oryginalna linia jest zazwyczaj zachowywana w polu zdarzenia surowego. Spotter w UI też może eksportować wyniki.
Securonix zbiera duże ilości danych o aktywności dla UEBA i SIEM, co czyni go doskonałym miejscem do eksportu kawałka śledztwa. Prime Core posiada 14 283 reguł detekcji dla Securonix, które są mapowane na 620 technik MITRE ATT&CK. Poniżej pokazano, jak wyprowadzić dane, oczyścić je i zbadać za darmo w LogTotal.
Zanim zaczniesz
Dostęp do API. Potrzebujesz użytkownika Securonix, który ma uprawnienia do korzystania z API. Tokeny są generowane przy użyciu poświadczeń tego użytkownika i mają okres ważności, który wybierzesz.
URL Twojego dzierżawcy. Dzierżawy chmurowe zazwyczaj wyglądają jak https://<tenant>.securonix.net/Snypr.
Retencja. Gorące dane są bezpośrednio przeszukiwalne w Spotter. Starsze dane mogą być w długoterminowym magazynie, który wymaga dodatkowych kroków do wyszukiwania.
Eksportuj za pomocą REST API
BASE="https://<tenant>.securonix.net/Snypr"
# 1. token, ważny na jeden dzień
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1"
"$BASE/ws/token/generate")
# 2. Kwerenda Spotter dla przedziału czasowego
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search"
--data-urlencode 'query=index=activity AND devicehostname="web-03"'
--data-urlencode 'eventtime_from=10/19/2026 00:00:00'
--data-urlencode 'eventtime_to=10/20/2026 00:00:00'
> snx_web03_1019.json
# 3. jedno zdarzenie na linię
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl
Załaduj, oczyść i zrecenzuj w LogTotal
- Załaduj. Otwórz logtotal.com i wrzuć plik.
- Oczyść. Przejrzyj zanim przejdziesz dalej.
- Zrecenzuj.
Kiedy coś pójdzie nie tak
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Żądanie tokena nie powiodło się | Nieprawidłowe poświadczenia lub użytkownik nie może korzystać z API | Sprawdź uprawnienia użytkownika do API |
| Puste wyniki | Składnia kwerendy lub format daty nie pasuje | Przetestuj kwerendę w Spotter; sprawdź format |
| Tylko część wyników | Nie stosowano stronicowania | Żądaj kolejnych stron przy użyciu ID kwerendy |
| Brak starych zdarzeń | Dane zostały przeniesione z gorącego magazynu | Sprawdź opcje długoterminowego magazynu |
FAQ
Czy mogę eksportować naruszenia i zagrożenia zamiast tego?
To są detekcje i mają swoje własne wywołania API. Dla LogTotal, eksportuj zdarzenia aktywności za nimi.
Czy Securonix on-premises jest inny?
API jest w szerokim zakresie to samo; podstawowy URL to Twój własny serwer. Sprawdź przewodnik API dla Twojej wersji.
