Jak eksportować logi z SentinelOne Singularity Data Lake

Wyślij zapytanie PowerQuery do API Singularity Data Lake na /api/powerQuery w Twoim regionalnym URL-u Data Lake, na przykład https://xdr.us1.sentinelone.net. Odpowiedź wraca jako tabela (kolumny oraz wiersze) i jedna linia jq zmienia to w jeden obiekt JSON na zdarzenie. Alternatywnie, eksportuj wydarzenia bezpośrednio z konsoli Singularity przez Event Search. CSV jest powszechnie dostępnym formatem eksportu, natomiast JSON lub zwykły tekst mogą być dostępne w zależności od interfejsu.

Singularity Data Lake przechowuje telemetrię punktów końcowych SentinelOne obok jakichkolwiek logów stron trzecich, które do niego wysyłasz, więc często jest to najszerszy widok, jaki ma klient SentinelOne. Prime Core ma 14 699 reguł detekcji dla SentinelOne, przypisanych do 644 technik MITRE ATT&CK. Poniżej znajduje się sposób, aby uzyskać dane, oczyszczać je i badać za darmo w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Użytkownik usługi z odpowiednimi uprawnieniami. Utwórz użytkownika usługi dla dostępu do API i nadaj jego roli uprawnienia zapytania Data Lake (SDL Query API i SDL Search). Stwórz go na poziomie konta lub strony, która faktycznie posiada dane. Klucz utworzony w nieodpowiednim zakresie uwierzytelnia się bez problemu, ale nic nie zwraca.

Twój regionalny URL. Dla USA typowo https://xdr.us1.sentinelone.net; inne regiony używają własnych nazw hostów. Sekcja pomocy konsoli zawiera listę twoich.

Poznaj pola. Telemetria punktów końcowych używa nazw takich jak endpoint.name, event.type, src.process.cmdline i tgt.process.cmdline. Logi stron trzecich zachowują oryginalny tekst w polu message. Najpierw spróbuj zapytanie w wyszukiwarce wydarzeń.

Eksport za pomocą PowerQuery API

SDL="https://xdr.us1.sentinelone.net"

curl -sS -X POST "$SDL/api/powerQuery" 
  -H "Authorization: Bearer $S1_SDL_TOKEN" -H "Content-Type: application/json" 
  -d '{
    "query": "endpoint.name = "WS-042" | columns timestamp, endpoint.name, event.type, src.process.cmdline, tgt.process.cmdline",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z"
  }' > sdl_ws042_1019.json

# tabela -> jeden obiekt JSON na wiersz
jq -c '.columns as $c | .values[] | [$c, .] | transpose | map({(.[0].name): .[1]}) | add' 
  sdl_ws042_1019.json > sdl_ws042_1019.jsonl

Wyniki PowerQuery są ograniczone, więc podziel długie okna na kilka zapytań.

Etap kolumn decyduje, co otrzymasz. Pomijaj pola, których nie potrzebujesz, ale zachowaj polecenia wiersza i nazwy procesów: tam skupia się większość detekcji.

Eksportuj logi przez interfejs Singularity Data Lake UI

Do szybkich badań lub mniejszych próbek logów możesz eksportować wydarzenia bezpośrednio z konsoli SentinelOne Singularity bez użycia API.

1. Otwórz wyszukiwarkę wydarzeń. Zaloguj się do konsoli SentinelOne Singularity i przejdź do Wyszukiwanie wydarzeń. Wybierz konto lub stronę zawierającą Twoje logi.
2. Ustaw zakres czasu. Wybierz okres, który chcesz zbadać i upewnij się, że odpowiednie źródła danych są uwzględnione.
3. Uruchom zapytanie. Włącz PowerQuery i wprowadź filtr wyszukiwania, na przykład endpoint.name = „WS-042”. Uruchom wyszukiwanie.
4. Przeglądaj wyniki. Sprawdź pasujące wydarzenia i wybierz potrzebne pola, takie jak timestamp, endpoint.name, event.type, src.process.cmdline i tgt.process.cmdline. Unikaj funkcji agregujących, jeśli potrzebujesz pojedynczych wydarzeń logów.
5. Eksportuj wyniki. Użyj opcji Eksportuj or Pobierz w obszarze wyników. W zależności od wersji konsoli i trybu wyszukiwania, możesz mieć możliwość wyboru między CSV, JSON i zwykłym tekstem.
6. Zapisz plik. Pobierz wyniki na swój komputer. Preferuj JSON, gdy jest dostępny, zwłaszcza dla strukturalnej telemetrii punktu końcowego. Dla logów stron trzecich, zachowaj pole message zawierające oryginalny tekst loga.

Ograniczenia. Formaty eksportu i limity wyników różnią się w zależności od wersji konsoli i trybu wyszukiwania. Duże wyszukiwania mogą również przekraczać limit eksportu UI; zawęź zakres czasu lub użyj Data Lake API dla większych zestawów danych.

Prześlij, oczyść i przeglądaj w LogTotal

1. Prześlij. Otwórz logtotal.com i upuść plik .jsonl.
2. Oczyść. 
3. Przeglądaj. 

Kiedy coś pójdzie nie tak