Seguir Cortex XSIAM usa as mesmas APIs de consulta XQL que o Cortex XDR: inicie uma consulta, aguarde os resultados e use um fluxo para qualquer coisa acima de 1.000 linhas. O que é diferente são os dados. Logs de terceiros chegam em conjuntos de dados brutos, geralmente nomeados <vendor>_<product>_raw, e a linha de log original fica no campo _raw_log. Selecione esse campo, e a exportação lhe devolve exatamente o que a fonte enviou.
XSIAM é a plataforma SOC da Palo Alto Networks, e é para onde muitos ex-clientes do QRadar SaaS foram após o acordo de 2024. O Prime Core tem mais de 24.000 regras de detecção exclusivas, mapeadas para 676 técnicas do MITRE ATT&CK. Abaixo está como obter dados, sanitizá-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Uma chave de API e URL. Crie uma chave com uma função que possa executar consultas XQL; anote a chave, seu ID e o URL da API mostrado com ela.
Encontre o conjunto de dados. No Construtor de Consultas, liste conjuntos de dados (dataset = oferece sugestões). Dados brutos de terceiros seguem o padrão <vendor>_<product>_raw, por exemplo fortinet_fortigate_raw. A telemetria do ponto final está em xdr_data.
Armazenamento quente e frio. Dados recentes estão em armazenamento quente e consultas rapidamente. Dados mais antigos podem estar em armazenamento frio, que requer uma abordagem de consulta própria e consome mais cota.
Exporte com as APIs XQL
Para obter linhas brutas de um conjunto de dados FortiGate:
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Execute através de start_xql_query e get_query_results (mais get_query_results_stream acima de 1.000 linhas), como no guia do Cortex XDR. Depois, transforme o JSON em linhas brutas:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Para dados normalizados entre fontes, consulte o modelo de dados (XDM) em vez disso. Você obtém nomes de campos consistentes, mas não a redação original.
Faça o upload, sanitize e revise no LogTotal
- Faça o upload. Abra logtotal.com e solte o arquivo: linhas brutas de _raw_log, ou as linhas JSON.
- Sanitize.
- Revise.
Quando algo dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| Conjunto de dados não encontrado | Nome diferente no seu locatário | Liste conjuntos de dados no Construtor de Consultas |
| _raw_log está vazio | A fonte foi ingerida como dados estruturados | Exporte os campos analisados em vez disso |
| Exatamente 1.000 resultados | Fluxo não utilizado | Use get_query_results_stream |
| Erros de cota | Cota de XQL usada ou consultas de armazenamento frio | Reduza a janela; verifique a cota |
| Dados antigos ausentes | Estão em armazenamento frio | Consulte o armazenamento frio ou restaure-os |
FAQ
Bruto ou XDM?
Bruto (_raw_log) para LogTotal, porque mantém o formato próprio da fonte. XDM quando você precisa dos mesmos campos em várias fontes.
Mudei do QRadar SaaS. Meus dados antigos estão aqui?
Isso depende da sua migração. Verifique quais conjuntos de dados contêm o histórico migrado.
