Seguir No NetWitness Investigate, execute sua consulta na visualização de Eventos, selecione os eventos (ou todos), e faça o download dos logs. Escolha Texto para obter as linhas de log bruto, ou JSON para eventos estruturados. Downloads grandes são executados como trabalhos; você coleta o arquivo da bandeja de Trabalhos quando estiver pronto. Por padrão, uma exportação pode incluir até 100.000 sessões.
NetWitness, anteriormente RSA NetWitness, armazena logs nos Log Decoders e os torna pesquisáveis através de Concentrators e Brokers. Prime Core tem 18.461 regras de detecção para NetWitness, mapeadas para 631 técnicas MITRE ATT&CK. Abaixo está como extrair logs, sanitizá-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Acesso ao Investigar. Você precisa de um papel que possa investigar o serviço (Broker ou Concentrator) que mantém os logs.
Configure o formato de exportação uma vez. In Perfil → Preferências → Investigação, a Preferência de Formato de Exportação de Log decide o formato padrão para downloads: Texto, XML, CSV ou JSON. Escolha Texto para logs brutos. Se ficar vazio, o NetWitness pergunta todas as vezes.
Retenção. Até onde você pode ir depende do armazenamento do Log Decoder. Logs mais antigos podem existir apenas em um arquivador, se você tiver um.
Exportar do Investigar
- Abrir Investigar → Eventos, escolha o serviço e defina o intervalo de tempo.
- Consulta com chaves meta (exemplo abaixo).
- Execute a consulta e verifique a contagem.
- Selecione os eventos que deseja, ou nenhum para pegar todos, e escolha a opção de download para logs (Texto ou JSON).
- Abra a bandeja de Trabalhos (o ícone do cronômetro) e faça o download do arquivo quando o trabalho terminar.
Uma consulta para um host Linux parece assim. Para logs do Windows, device.type = ‘winevent_nic’ é o analisador de log comum.
device.type = 'rhlinux' && alias.host = 'web-03'
Para um único evento, a guia Texto dos detalhes do evento tem suas próprias opções de download para o log bruto.
The Exportação Máxima de Sessão configuração limita quantas sessões uma exportação pode incluir (100.000 por padrão). Para janelas maiores, divida por tempo.
Opção 2: REST API nos serviços
Concentrators e Brokers expõem uma interface REST que pode executar consultas e retornar conteúdo de log. Isso se adapta a exportações scriptadas.
Fazer upload, sanitizar e revisar no LogTotal
- Fazer upload. Abrir logtotal.com e solte o arquivo.
- Sanitizar.
- Revisar.
Como isso se parece com dados reais.
Quando dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| O download contém sessões de rede ou meta, não logs | Opção de download errada | Escolha o download de logs, não meta ou PCAP |
| Exportação para nas 100.000 sessões | Exportação Máxima de Sessão limite | Divida por tempo, ou peça a um administrador para aumentar o limite |
| Nenhum arquivo aparece | É um trabalho de fundo | Colete da bandeja de Trabalhos |
| Consulta não retorna nada | Serviço errado ou valores de chave meta errados | Verifique os valores de device.type no painel meta |
FAQ
Texto ou JSON?
Texto quando você quer as linhas de log originais, o que se adapta a fontes estilo syslog. JSON quando você quer os meta analisados do NetWitness ao lado de cada evento.
Posso exportar pacotes também?
Sim, como PCAP, mas isso é tráfego de rede, não logs. O LogTotal funciona com os logs.
