Como Exportar Logs do Sekoia

Utilize a API de busca de eventos Sekoia.io em três passos. Crie um trabalho de busca (POST /v1/sic/conf/events/search/jobs) com uma consulta e uma janela de tempo, espere até que o trabalho seja concluído, então leia seus eventos em páginas de até 1.000. O Exportar eventos botão na página de eventos funciona também, mas para em 500 eventos. Para grandes volumes, a Sekoia oferece uma API de exportação massiva e sua própria ferramenta sekoia-event-exporter.

Sekoia.io é uma plataforma SOC europeia, e seu repositório de eventos é frequentemente o primeiro local que seus usuários procuram durante uma investigação. Prime Core tem 23.983 regras de detecção, mapeadas para 676 técnicas do MITRE ATT&CK. Veja abaixo como obter eventos, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Uma chave de API. Crie uma no Sekoia.io com permissão para buscar eventos. Somente leitura é suficiente para buscas; a exportação massiva precisa da permissão SIC_MASSIVE_EXPORT_EVENTS.

O host da API da sua região. O padrão é https://api.sekoia.io. Outras regiões têm seus próprios hosts, por exemplo, https://api.usa1.sekoia.io.

Linguagem de consulta. A API aceita as mesmas consultas que a página de Eventos. Os exemplos abaixo usam a sintaxe clássica “dork” (term_lang: dork). Construa e teste a consulta na interface do usuário primeiro.

Exportar com a API de busca de eventos

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. criar o trabalho de busca
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. espere até que o trabalho seja concluído (status 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. leia os eventos, 1.000 de cada vez
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off<TOTAL; off+=1000)); do
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Os eventos retornam do mais recente para o mais antigo. Um trabalho que falha nunca atinge o status 2, então adicione um tempo limite se você roteirizar isso para uso regular.

Para exportações grandes, inicie a exportação massiva em um trabalho concluído (POST /v1/sic/conf/events/search/jobs//export), espere a tarefa, então obtenha o link de download. O pacote sekoia-event-exporter no PyPI encapsula esse fluxo de trabalho.

Faça upload, sanitize e revise no LogTotal

1. Carregar. Abrir logtotal.com e arraste o arquivo. 
2. Sanitize. 
3. Revisar. 

Quando algo dá errado