Como Exportar Logs do Securonix

Gere um token de API, execute sua consulta Spotter através da API REST da Securonix (/ws/spotter/index/search) e salve os eventos como JSON. Quando a fonte envia texto bruto, a linha original geralmente é mantida no campo de evento bruto. O Spotter na interface do usuário também pode exportar resultados. 

A Securonix coleta grandes volumes de dados de atividade para UEBA e SIEM, tornando-se um lugar rico para exportar uma fatia de investigação. O Prime Core possui 14.283 regras de detecção para a Securonix, mapeadas para 620 técnicas do MITRE ATT&CK. Abaixo está como obter dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Acesso à API. Você precisa de um usuário da Securonix que tenha permissão para usar a API. Os tokens são gerados com as credenciais desse usuário e têm um período de validade escolhido por você.

Seu URL do locatário. Os locatários da nuvem geralmente parecem como https://<tenant>.securonix.net/Snypr.

Retenção. Dados recentes são pesquisáveis diretamente no Spotter. Dados mais antigos podem estar em armazenamento de longo prazo que necessita de passos extras para pesquisa. 

Exportar com a API REST

BASE="https://<tenant>.securonix.net/Snypr"

# 1. token, válido por um dia
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1" 
  "$BASE/ws/token/generate")

# 2. Consulta Spotter para um intervalo de tempo
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search" 
  --data-urlencode 'query=index=activity AND devicehostname="web-03"' 
  --data-urlencode 'eventtime_from=10/19/2026 00:00:00' 
  --data-urlencode 'eventtime_to=10/20/2026 00:00:00' 
  > snx_web03_1019.json

# 3. um evento por linha
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl

Carregar, sanitizar e revisar no LogTotal

1. Carregar. Abrir logtotal.com e soltar o arquivo.
2. Sanitizar. Revise antes de continuar.
3. Revisar. 

Quando algo dá errado