Як експортувати журнали Falcon LogScale

Надішліть свій запит до LogScale query API, POST /api/v1/repositories/<repo>/query, і запросіть application/x-ndjson: ви отримаєте один екземпляр на рядок. Оригінальна лінія журналу знаходиться в @rawstring, тому один виклик jq перетворить експорт назад у сирі журнали. Альтернативно, експортуйте журнали безпосередньо з інтерфейсу LogScale як простий текст, JSON або CSV.

LogScale (раніше Humio) створено для високих обсягів пошуку журналів, тому він часто має найбільш повний запис, який має команда. Prime Core має 23 747 правил виявлення для Falcon LogScale, які узгоджені з 674 техніками MITRE ATT&CK. Нижче описано, як отримати дані, очистити їх та розслідувати безкоштовно в LogTotal.

Цей путівник охоплює автономний LogScale, хмарний або такий, що розміщений самостійно. Якщо ви використовуєте LogScale в консолі Falcon як частину Next-Gen SIEM, консоль та її API відрізняються.

Почніть безкоштовно

Перш ніж почати

Токен. Створіть API токен з дозволом робити запити до репозиторію. Ставтеся до нього як до пароля.

Базова URL-адреса і репозиторій. Хмарні клієнти використовують URL своєї регіону, наприклад https://cloud.us.humio.com. Кластери, що розміщені самостійно, використовують своє власне hostname. Вам також потрібна назва репозиторію або перегляду.

Утримання. Кожен репозиторій має своє власне утримання. Перевірте це, перш ніж пообіцяти комусь тиждень історії.

Експортувати за допомогою API запиту

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# тільки сирі рядки
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

Значення початку та кінця – це мілісекунди по епосі; відносні значення, як “24h” також працюють. Синтаксис date -d є GNU, тому на macOS обчисліть часові позначки іншим способом.

Залиште запит фільтром. Будь-що, що здійснює агрегацію (groupBy, count, timechart), повертає агрегат, а не події. Для дуже тривалих або ресурсозатратних пошуків використовуйте API завдань запитів, який виконує пошук асинхронно і дозволяє вам запитувати результати.

Експортувати журнали через Falcon LogScale Search UI

Для швидких розслідувань або невеликих вибірок журналів ви можете експортувати події безпосередньо з веб-інтерфейсу Falcon LogScale без використання API.

1. Відкрити пошук. Увійдіть в Falcon LogScale, виберіть репозиторій або перегляд з вашими журналами і відкрийте Пошук сторінка.
2. Запустити запит. Введіть фільтр пошуку, наприклад host=web-03. Встановіть діапазон часу і запустіть пошук.
3. Огляд результатів. Перевірте, чи відповідають повернуті події тому, що вам потрібно. Уникайте функцій агрегації, таких як groupBy(), count() або timeChart(), якщо вам потрібні окремі події журналу.
4. Експортувати журнали. З результатів пошуку, клацніть Зберегти > Експортувати дані у файл.
5. Виберіть формат файлу.
   • Простий текст (.txt): Експортує поле @rawstring, зберігаючи оригінальні рядки журналу. Найкраще для LogTotal, якщо джерело містить текст у стилі syslog.
   • JSON (.json): Експортує повні об’єкти подій, включаючи розібрані поля та метадані. Найкраще, коли вам потрібні структуровані події.
   • CSV (.csv): Експортує вибрані поля у таблицю. Корисно для звітності, але менш підходить для LogTotal. Виберіть «Вибрати все» в «Поля для експорту».
6. Завантажити. Введіть ім’я файлу і клацніть Експортувати щоб зберегти файл локально.

Обмеження. Експорт у простому тексті вимагає, щоб оригінальний вміст журналу був доступний у @rawstring. Якщо це поле відсутнє, експортуйте повні події як JSON або. Для великих наборів даних звузьте діапазон часу або використовуйте API запиту. Неагреговані експортні пошуки можуть містити події в іншому порядку, ніж результати в інтерфейсі.

Завантажуйте, очищуйте і переглядайте в LogTotal

1. Завантажити. Відкрити logtotal.com і перетягніть файл. 
2. Очищати. 
3. Переглянути. 

Коли щось пішло не так