Como Exportar Logs do LogPoint

Use a API de Pesquisa do LogPoint, que funciona em duas chamadas para o mesmo endpoint, /getsearchlogs. A primeira chamada envia sua consulta, intervalo de tempo e repositórios, e retorna um search_id. A segunda chamada envia esse search_id e retorna as linhas quando a pesquisa estiver finalizada. Ambas as chamadas são POSTs codificados em formulário autenticados com seu nome de usuário e chave secreta.

LogPoint é um SIEM popular na Europa, e a API de Pesquisa é a maneira mais limpa de obter um recorte definido de seus dados. O Prime Core possui 19.598 regras de detecção para LogPoint, mapeadas para 664 técnicas MITRE ATT&CK. Abaixo está como obter logs, sanitizá-los e investigá-los gratuitamente no LogTotal.

Antes de começar

Sua chave secreta. Cada chamada de API leva seu nome de usuário LogPoint e chave secreta. Você encontra a chave nas configurações de chave de acesso do seu perfil de usuário. Trate-a como uma senha.

Nomes dos repositórios. As pesquisas são executadas contra repositórios, escritos como :5504/, por exemplo 127.0.0.1:5504/_logpoint. A mesma família de endpoints os lista para você (getalloweddata com tipo logpoint_repos).

Intervalo de tempo. time_range leva ou uma predefinição como ‘Últimas 24 horas’ ou um par de segundos de época. Para trabalho de incidente, use o par de épocas; date -d ‘2026-10-19T00:00:00Z’ +%s o computa.

Exportar com a API de Pesquisa

LP="https://logpoint.example.com"

# 1. iniciar a pesquisa (2026-10-19 00:00 UTC a 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. buscar resultados até que a pesquisa esteja finalizada
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Mantenha a consulta como um filtro. Uma consulta com | chart ou outras agregações retorna linhas agregadas, não logs. O log bruto geralmente fica no campo msg.

Carregue, sanitize e revise no LogTotal

1. Carregue. Abra logtotal.com e soltar no arquivo.
2. Sanitize.
3. Revise.

Como isso se parece com dados reais.

Quando algo dá errado