Як експортувати логи Trellix Helix

Запустіть ваш пошук через Helix search API: POST-запит до https://apps.fireeye.com/helix/id/<instance-id>/api/v1/search з вашим API ключем у заголовку x-fireeye-api-key і запитом у тілі. Регіональні інстанси використовують власні хости, такі як helix.eu.fireeye.com. Результати повертаються у вигляді JSON, а оригінальний рядок журналу зберігається в полі raw message.

Trellix Helix, раніше FireEye Helix та новіше в документації називається Helix Enterprise, поєднує пошук по журналах з вмістом виявлення. Prime Core має 18,667 правил виявлення для Trellix Helix, відомих до 632 технік MITRE ATT&CK. Нижче описано, як отримати події, очистити їх та розслідувати безкоштовно у LogTotal.

Почніть безкоштовно

Перед початком

Ключ API. Створіть його у Trellix Identity та Access Management під Ключі API, з пошуковими обсягами, які потребує ваш запит.

Ваш ID інстансу. Він відображається у верхньому лівому куті інтерфейсу Helix та використовується у кожному URL API.

Мова запитів. Helix використовує TQL, яка замінила MQL. Термінування без поля порівнюються з індексом raw message. Попередньо створіть та протестуйте запит на сторінці пошуку Helix.

Експорт за допомогою search API

HELIX="https://apps.fireeye.com/helix/id/<instance-id>"

curl -sS -X POST "$HELIX/api/v1/search" 
  -H "x-fireeye-api-key: $HELIX_KEY" -H 'Content-Type: application/json' 
  -d '{"query": "hostname:"web-03""}' 
  > helix_web03_1019.json

Коли ви будете знати структуру, сплющте її до одного події на лінію за допомогою jq -c, та витягніть raw поле за допомогою jq -r, якщо джерелом був текст.

Завантажте, очистьте та перегляньте у LogTotal

1. Завантаження. Відкрийте logtotal.com і перетягніть файл.
2. Очищення. 
3. Перегляд.

Як це виглядає на реальних даних.

Коли щось йде не так