Como Exportar Logs do Datadog Cloud SIEM

O Cloud SIEM é executado sobre o Gerenciamento de Logs da Datadog, portanto, exportar “logs do Cloud SIEM” significa exportar os logs por trás dele. Use a Logs Search API, POST /api/v2/logs/events/search, com uma chave de API e uma chave de aplicação, e siga o cursor até que não haja próxima página; cada página contém até 1.000 logs. Para histórico além da retenção do seu índice, leia seus arquivos de log no S3, GCS ou Azure Storage, ou reidrate-os. Os sinais de segurança são uma API separada.

A Datadog é onde muitas equipes nativas da nuvem já mantêm seus logs, o que a torna a fonte natural para uma fatia de investigação. A Prime Core tem 23.983 regras de detecção para a Datadog, mapeadas para 676 técnicas do MITRE ATT&CK. Abaixo está como obter logs, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Duas chaves. A Logs Search API precisa de uma chave de API (DD-API-KEY) e uma chave de aplicação (DD-APPLICATION-KEY). A chave de aplicação deve pertencer a um usuário, ou a uma conta de serviço, que possa ler os logs, e se estiver delimitada, precisa de acesso de leitura aos logs.

Seu site Datadog. O host da API segue seu site: api.datadoghq.com (US1), api.us3.datadoghq.com, api.us5.datadoghq.com, api.datadoghq.eu, api.ap1.datadoghq.com e outros. Use aquele que corresponde ao seu URL de login.

Retenção. Os logs indexados são pesquisáveis enquanto seu índice os mantém. Logs mais antigos existem apenas em arquivos, se você os configurar.

Exportar com a Logs Search API

DD="https://api.datadoghq.eu"
BODY='{"filter": {"query": "host:web-03 source:sshd", "from": "2026-10-19T00:00:00Z", "to": "2026-10-20T00:00:00Z"}, "page": {"limit": 1000}, "sort": "timestamp"}'

: > dd_web03_1019.jsonl
CURSOR=""
while :; do
  REQ=$(echo "$BODY" | jq --arg c "$CURSOR" 'if $c != "" then .page.cursor = $c else . end')
  RESP=$(curl -sS -X POST "$DD/api/v2/logs/events/search" 
    -H "DD-API-KEY: $DD_API_KEY" -H "DD-APPLICATION-KEY: $DD_APP_KEY" 
    -H 'Content-Type: application/json' -d "$REQ")
  echo "$RESP" | jq -c '.data[]' >> dd_web03_1019.jsonl
  CURSOR=$(echo "$RESP" | jq -r '.meta.page.after // empty')
  [ -z "$CURSOR" ] && break
done

# apenas mensagens brutas
jq -r '.attributes.message' dd_web03_1019.jsonl > dd_web03_1019.log

A API tem limite de taxa. Para janelas grandes, espere que demore um pouco, e recue quando vir 429.

Logs mais antigos: arquivos

Se você configurou arquivos de log, a Datadog grava arquivos JSON compactados no seu bucket, organizados por data e hora. Baixe as horas que você precisa e descompacte-as:

aws s3 cp s3://my-dd-archive/dt=20261019/ ./dd-archive/ --recursive
zcat ./dd-archive/*/*.json.gz > dd_archive_1019.jsonl

Carregue, sanitize e reveja no LogTotal

1. Carregar. Abra logtotal.com e arraste para o arquivo.]
2. Sanitize. 
3. Revisão. 

Quando algo dá errado