Як експортувати журнали Sekoia

Використовуйте API пошуку подій Sekoia.io в три кроки. Створіть пошукове завдання (POST /v1/sic/conf/events/search/jobs) з запитом і часовим інтервалом, дочекайтеся завершення завдання, а потім отримайте його події частинами до 1,000. Експортувати події кнопка на сторінці Подій також працює, але зупиняється на 500 подіях. Для великих обсягів Sekoia пропонує масивний API експорту та власний інструмент sekoia-event-exporter.

Sekoia.io – це європейська платформа SOC, а її сховище подій часто є першим місцем, куди звертаються користувачі під час розслідування. Prime Core має 23,983 правил виявлення, які відповідають 676 технікам MITRE ATT&CK. Нижче описано, як вивести події, очистити їх та безкоштовно дослідити в LogTotal.

Почати безкоштовно

Перш ніж почати

Ключ API. Створіть його в Sekoia.io з дозволом на пошук подій. Достатньо лише читання для пошуку; масивний експорт потребує дозволу SIC_MASSIVE_EXPORT_EVENTS.

API-хост вашого регіону. За замовчуванням – https://api.sekoia.io. Інші регіони мають свої хости, наприклад https://api.usa1.sekoia.io.

Мова запитів. API приймає ті ж самі запити, що й сторінка подій. Приклади нижче використовують класичний синтаксис “дьорк” (term_lang: dork). Сформуйте і протестуйте запит у UI спочатку.

Експорт за допомогою API пошуку подій

API="https://api.sekoia.io/v1"
H="Authorization: Bearer $SEKOIA_API_KEY"

# 1. створіть пошукове завдання
JOB=$(curl -sS -X POST "$API/sic/conf/events/search/jobs" -H "$H" -H 'Content-Type: application/json' 
  -d '{"term": "host.name:"web-03"", "earliest_time": "2026-10-19T00:00:00Z", "latest_time": "2026-10-20T00:00:00Z", "term_lang": "dork"}' 
  | jq -r '.uuid')

# 2. зачекайте, поки завдання завершиться (статус 2)
until [ "$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq -r '.status')" = "2" ]; do sleep 3; done

# 3. прочитайте події, по 1,000 за раз
TOTAL=$(curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB" | jq '.total')
for ((off=0; off
  curl -sS -H "$H" "$API/sic/conf/events/search/jobs/$JOB/events?limit=1000&offset=$off" | jq -c '.items[]'
done > sekoia_web03_1019.jsonl

Події повертаються новішими спочатку. Завдання, яке зазнає невдачі, ніколи не досягає статусу 2, тому додайте тайм-аут, якщо ви кодуєте це для регулярного використання.

Для великих експортах,запустіть масивний експорт на завершеному завданні (POST /v1/sic/conf/events/search/jobs//export), дочекайтеся завершення завдання, а потім отримаєте посилання для завантаження. Пакет sekoia-event-exporter на PyPI обгортує цей робочий процес.

Завантажте, очистьте та перегляньте в LogTotal

1. Завантажте. Відкрийте logtotal.com і киньте файл. 
2. Очищення. 
3. Перегляд. 

Коли щось йде не так