Як експортувати логи LogPoint

Використовуйте API пошуку LogPoint, яке працює в двох викликах до одного й того ж кінцевого пункту /getsearchlogs. Перший виклик надсилає ваш запит, часовий діапазон і репозиторії, і повертає search_id. Другий виклик надсилає цей search_id і повертає рядки, коли пошук буде завершено. Обидва виклики є POST-и, закодовані у форматі та автентифіковані вашим ім’ям користувача та секретним ключем.

LogPoint популярна SIEM в Європі, і API пошуку є найчистішим способом отримати визначений сегмент даних з неї. Prime Core має 19 598 правил виявлення для LogPoint, зіставлених з 664 техніками MITRE ATT&CK. Нижче показано, як отримати журнали, очистити їх та дослідити безкоштовно в LogTotal.

Перед початком

Ваш секретний ключ. Кожен виклик API містить ваше ім’я користувача LogPoint та секретний ключ. Ви знаходите ключ у налаштуваннях доступу вашого профілю. Лікуйте його як пароль.

Назви репозиторіїв. Пошуки виконуються відносно репозиторіїв, записаних як <ip>:5504/<repo>, наприклад 127.0.0.1:5504/_logpoint. Та ж сім’я кінцевих точок перечисляє їх для вас (getalloweddata з типом logpoint_repos).

Часовий діапазон. time_range приймає або попереднє налаштування, як “Останні 24 години”, або пару епохальних секунд. Для роботи з інцидентами використовуйте епохальну пару; date -d ‘2026-10-19T00:00:00Z’ +%s обчислює її.

Експорт за допомогою API пошуку

LP="https://logpoint.example.com"

# 1. почати пошук (з 2026-10-19 00:00 UTC до 2026-10-20 00:00 UTC)
SID=$(curl -sS "$LP/getsearchlogs" 
  --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
  --data-urlencode 'requestData={"query": "device_ip=10.0.0.5", "time_range": [1792368000, 1792454400], "limit": 10000, "repos": ["127.0.0.1:5504/_logpoint"]}' 
  | jq -r '.search_id')

# 2. отримати результати, доки пошук не завершиться
while :; do
  R=$(curl -sS "$LP/getsearchlogs" 
      --data-urlencode "username=$LP_USER" --data-urlencode "secret_key=$LP_KEY" 
      --data-urlencode "requestData={"search_id": "$SID"}")
  [ "$(echo "$R" | jq -r '.final')" = "true" ] && break
  sleep 3
done

echo "$R" | jq -c '.rows[]' > logpoint_1019.jsonl
echo "$R" | jq -r '.rows[].msg // empty' > logpoint_1019_raw.log

Залишайте запит фільтром. Запит з | chart або іншими агрегаціями повертає агреговані рядки, а не журнали. Сирий журнал зазвичай знаходиться в полі msg.

Завантажте, очистіть і перегляньте в LogTotal

1. Завантажити. Відкрити logtotal.com і завантажте файл.
2. Очистити.
3. Переглянути.

Як це виглядає на реальних даних.

Коли щось йде не так