Como Exportar Logs do SentinelOne

SOC Prime Team

O SentinelOne mantém três tipos de dados que valem a pena exportar: telemetria do endpoint, ameaças e atividades (o registro de auditoria do que usuários e agentes fizeram no console). A telemetria vive no Singularity Data Lake e possui seu próprio guia. Ameaças e atividades saem da API de gerenciamento (https://.sentinelone.net/web/api/v2.1) com um cabeçalho do ApiToken, como JSON, página por página com um cursor.

Quando algo dá errado em uma rede protegida pelo SentinelOne, o registro de atividades frequentemente responde às perguntas incômodas. Quem desativou aquele agente? Quem adicionou aquela exclusão? Quem marcou a ameaça como benigna? O Prime Core tem 14.741 regras de detecção para o SentinelOne, mapeadas para 644 técnicas do MITRE ATT&CK. Abaixo está como extrair os dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Um token de API. Crie um usuário de serviço (ou use o seu próprio usuário) com direitos de visualização na conta ou site que possui os dados e gere seu token de API. Tokens expiram; anote quando.

Sua URL do console. É o hostname no qual você faz login, por exemplo, https://usea1-example.sentinelone.net.

Exportar atividades e ameaças

S1="https://usea1-example.sentinelone.net/web/api/v2.1"
H="Authorization: ApiToken $S1_API_TOKEN"
URL="$S1/activities?createdAt__gte=2026-10-19T00:00:00Z&createdAt__lt=2026-10-20T00:00:00Z&limit=1000"

: > s1_activities_1019.jsonl
NEXT=""
while :; do
  RESP=$(curl -sS -H "$H" "${URL}${NEXT:+&cursor=$NEXT}")
  echo "$RESP" | jq -c '.data[]' >> s1_activities_1019.jsonl
  NEXT=$(echo "$RESP" | jq -r '.pagination.nextCursor // empty')
  [ -z "$NEXT" ] && break
done

Para ameaças, troque /activities por /threats e salve em outro arquivo. Ambos os endpoints aceitam mais filtros, como IDs de site ou tipos de atividade.

O que procurar em atividades

Procure por agentes sendo desinstalados, desativados ou colocados em um modo menos protetor. Fique de olho em novas exclusões, especialmente caminhos amplos. Verifique ameaças que foram marcadas como resolvidas ou benignas sem investigação e mudanças de política. Observe de perto os logins no console de locais desconhecidos. Qualquer um destes, bem antes ou durante um incidente, merece uma segunda análise.

Carregar, sanitizar e revisar no LogTotal

Carregar. Abrir logtotal.com e soltar o arquivo.
Sanitizar.
Revisar.

Quando algo dá errado

Sintoma	Causa provável	Fix
401	Token expirado ou o cabeçalho não é ApiToken	Gere um novo token; verifique o cabeçalho
Resultados vazios com um token válido	O escopo do token não cobre o site	Use um usuário no escopo correto
Somente 1.000 registros	Cursor não seguido	Loop em pagination.nextCursor
Não há telemetria de processo aqui	A telemetria não está na API de gerenciamento

FAQ

Posso obter os logs do próprio agente?

O console pode buscar logs do agente a partir de um endpoint para solução de problemas. Estes são arquivos de diagnóstico para suporte, não telemetria de segurança.

E quanto ao Deep Visibility?

O Deep Visibility foi a busca de telemetria anterior. Consoles atuais usam o Singularity Data Lake; veja esse guia.