Стежити Cortex XSIAM використовує ті ж самі XQL API для запиту, як і Cortex XDR: розпочати запит, дочекатися результатів і використовувати потік для будь-чого понад 1,000 рядків. Різниця у даних. Логи сторонніх виробників потрапляють у сирі набори даних, зазвичай з іменами <вендор>_<продукт>_raw, а початкова строка журналу знаходиться в полі _raw_log. Виберіть це поле, і експорт поверне вам точно те, що відправило джерело.
XSIAM – це SOC платформа від Palo Alto Networks, і це те місце, куди потрапила більшість колишніх клієнтів QRadar SaaS після угоди 2024 року. Prime Core має більше 24,000 унікальних правил детекції, мапованих на 676 технік MITRE ATT&CK. Нижче описано, як витягти дані, очистити їх і безкоштовно перевірити в LogTotal.
Перш ніж почати
Ключ API та URL. Створіть ключ з роллю, яка може виконувати XQL запити; запам’ятайте ключ, його ID та API URL, що показується разом з ним.
Знайдіть набір даних. У Конструкторі запитів перераховуйте набори даних (dataset = пропонує підказки). Сирі дані сторонніх виробників слідують шаблону <вендор>_<продукт>_raw, наприклад fortinet_fortigate_raw. Телеметрія на кінцевих точках знаходиться в xdr_data.
Гарячий і холодний сховища. Нещодавні дані знаходяться в гарячому сховищі, і запити виконуються швидко. Старіші дані можуть знаходитися в холодному сховищі, яке потребує свого власного підходу до запиту та вимагає більше квоти.
Експорт з XQL API
Щоб отримати сирі рядки з набору даних FortiGate:
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
Запустіть його через start_xql_query і get_query_results (плюс get_query_results_stream для понад 1,000 рядків), як у посібнику Cortex XDR. Потім перетворіть JSON у сирі рядки:
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
Для нормалізованих даних з різних джерел, запитуйте модель даних (XDM) замість цього. Ви отримуєте послідовні імена полів, але не першопочаткове формулювання.
Завантажте, очистіть і перегляньте в LogTotal
- Завантаження. Відкрийте logtotal.com і помістіть у файл: сирі рядки з _raw_log, або JSON рядки.
- Очистка.
- Перегляд.
Коли щось йде не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Набір даних не знайдено | Ім’я відрізняється у вашому орендаті | Перелік наборів даних у Конструкторі запитів |
| _raw_log порожній | Джерело було інгестовано як структуровані дані | Експортуйте замість цього розібрані поля |
| Рівно 1,000 результатів | Потік не використовується | Використовуйте get_query_results_stream |
| Помилки квоти | Використано квоту XQL або запити холодного сховища | Звузьте вікно; перевірте квоту |
| Жодних старих даних | Вони знаходяться в холодному сховищі | Зробіть запит до холодного сховища або відновіть його |
FAQ
Sкрl або XDM?
Sкрl (_raw_log) для LogTotal, тому що він зберігає власний формат джерела. XDM, коли необхідні ті ж самі поля з багатьох джерел.
Я перейшов з QRadar SaaS. Чи є тут мої старі дані?
Це залежить від вашої міграції. Перевірте, які набори даних містять перенесену історію.
