Jak eksportować logi SentinelOne

SentinelOne przechowuje trzy rodzaje danych, które warto eksportować: telemetria końcówek, zagrożenia i działania (ślad audytu tego, co użytkownicy i agenci zrobili w konsoli). Telemetria znajduje się w Singularity Data Lake i ma własny przewodnik. Zagrożenia i działania pochodzą z API zarządzania (https://.sentinelone.net/web/api/v2.1) z nagłówkiem ApiToken, jako JSON, strona po stronie z kursorem.

Gdy coś idzie nie tak w sieci chronionej przez SentinelOne, dziennik aktywności często odpowiada na niewygodne pytania. Kto wyłączył tego agenta? Kto dodał to wykluczenie? Kto oznaczył zagrożenie jako nieszkodliwe? Prime Core ma 14 741 reguł wykrywania dla SentinelOne, odwzorowanych na 644 techniki MITRE ATT&CK. Poniżej przedstawiamy, jak wyciągnąć dane, oczyścić je i zbadać za darmo w LogTotal.

Zacznij za darmo

Zanim zaczniesz

Token API. Utwórz użytkownika usługi (lub użyj swojego użytkownika) z prawami widoku na koncie lub stronie, która zawiera dane, i wygeneruj jego token API. Tokeny wygasają; zanotuj kiedy.

Twój adres URL konsoli. To jest nazwa hosta, do której się logujesz, na przykład https://usea1-example.sentinelone.net.

Eksportuj działania i zagrożenia

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Dla zagrożeń zamień /activities na /threats i zapisz do innego pliku. Oba końce obsługują więcej filtrów, takich jak ID witryny lub typy aktywności. 

Co szukać w działaniach

Szukaj agentów, które są odinstalowywane, wyłączane lub ustawiane w mniej ochronny tryb. Obserwuj nowe wykluczenia, zwłaszcza szerokie ścieżki. Sprawdź zagrożenia oznaczone jako rozwiązane lub nieszkodliwe bez dochodzenia oraz zmiany w politykach. Przyjrzyj się logowaniu do konsoli z nieznanych miejsc. Każde z tych zdarzeń, tuż przed lub w trakcie incydentu, zasługuje na dodatkowe zbadanie.

Przesyłaj, czyść i przeglądaj w LogTotal

1. Prześlij. Otwórz logtotal.com i wrzuć plik. 
2. Oczyść. 
3. Przejrzyj. 

Kiedy coś pójdzie nie tak