Como Exportar Logs do Sumo Logic

Execute sua pesquisa através da API de Trabalho de Pesquisa do Sumo Logic: crie um trabalho, aguarde até que ele tenha reunido todos os resultados e, em seguida, pagine através das mensagens. Cada mensagem carrega a linha de log original em _raw. A guia Mensagens na interface do usuário também pode exportar resultados, mas não em um formato que o LogTotal leia hoje.

O Sumo Logic é uma plataforma de SIEM e logs na nuvem comum, e um local natural para extrair uma fatia de investigação. O Prime Core possui 23.391 regras de detecção para o Sumo Logic, mapeadas para 664 técnicas MITRE ATT&CK. Abaixo está como obter logs brutos, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Uma chave de acesso. Crie um ID de acesso e uma chave no Sumo Logic. A chave atua com as permissões do seu papel, por isso, o papel precisa ser capaz de executar buscas nos dados desejados.

O endpoint correto da API. O Sumo Logic executa várias implantações, e cada uma possui seu próprio host da API: api.sumologic.com para US1, api.us2.sumologic.com, api.eu.sumologic.com e assim por diante. Relacione-o à URL que você utiliza para fazer login. Uma implantação errada resulta em um 401 que parece uma chave incorreta.

Cookies. A API de Trabalho de Pesquisa precisa que os cookies sejam mantidos entre as chamadas, pois um trabalho vive em um nó de backend específico. Sem um jar de cookies, as chamadas subsequentes podem falhar em encontrar o trabalho.

Limites. Um trabalho retorna um número limitado de mensagens, e cada página contém até 10.000. Mantenha as janelas de tempo estreitas.

Exporte com a API de Trabalho de Pesquisa

API="https://api.sumologic.com/api/v1"
AUTH="$SUMO_ACCESS_ID:$SUMO_ACCESS_KEY"
JAR=$(mktemp)

# 1. crie o trabalho de pesquisa
JOB=$(curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" -H 'Content-Type: application/json' 
  -X POST "$API/search/jobs" -d '{
    "query": "_sourceCategory=linux/secure _sourceHost=web-03",
    "from": "2026-10-19T00:00:00", "to": "2026-10-20T00:00:00",
    "timeZone": "UTC"
  }' | jq -r '.id')

# 2. aguarde até que todos os resultados sejam reunidos
until curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB" 
      | jq -e '.state == "DONE GATHERING RESULTS"' >/dev/null; do sleep 5; done

# 3. pagine através das mensagens, mantendo as linhas brutas
COUNT=$(curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB" | jq '.messageCount')
for ((off=0; off<COUNT; off+=10000)); do
  curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" "$API/search/jobs/$JOB/messages?offset=$off&limit=10000" 
    | jq -r '.messages[].map._raw'
done > web-03_sumo_1019.log

# 4. limpar
curl -sS -u "$AUTH" -c "$JAR" -b "$JAR" -X DELETE "$API/search/jobs/$JOB" >/dev/null

Mantenha a consulta como um filtro simples. Consultas com operadores de agregação retornam registros, não mensagens, e os registros não carregam _raw. Para saída estruturada, escreva jq -c ‘.messages[].map’ em vez disso, o que dá um objeto JSON por linha com todos os campos.

Se um trabalho for cancelado, o loop de espera nunca termina. Adicione uma verificação para CANCELADO se automatizar isso para uso regular.

Envie, sanitizize e revise no LogTotal

1. Carregar. Abrir logtotal.com e solte o arquivo lá.
2. Sanitizar. 
3. Revisar. 

Quando algo dá errado