Стежити Кожна SIEM може повернути свої дані в одній з двох форм: оригінальні необроблені події або власний розпарсений JSON. Для аналізування поза межами SIEM, необроблені події майже завжди є кращим вибором. Експортуйте їх для вузького часового вікна через API або CLI, а не через браузер. Таблиця нижче показує найкращий маршрут для кожної основної платформи, з посиланням на повний гайд.
Чому взагалі варто виводити дані з SIEM? Для другої думки, для обміну з партнером з реагування на інциденти, який не має доступу, або для запуску логіки виявлення, якої немає у вашій SIEM. Prime Core має 1 мільйон правил виявлення на цих платформах, відповідних 676 технікам MITRE ATT&CK, і LogTotal запускає їх проти файлу безкоштовно.
Платформа за платформою
| Платформа | Найкращий маршрут експорту | Що ви отримуєте | Повний гайд |
|---|---|---|---|
| Splunk | CLI пошук splunk -output rawdata, або REST search/v2/jobs/export з output_mode=raw | Оригінальні необроблені рядки | [Splunk] |
| IBM QRadar | Ariel REST API з UTF8(payload) | Оригінальні пакети | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, або _search з PIT | Документи JSON; необроблені рядки, якщо зберігаються у повідомленні | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT з search_after, або ES|QL (до 10,000 рядків) | Документи JSON; необроблений рядок в event.original, якщо збережено | [Elastic] |
| CrowdStrike Falcon | Експорт розширеного пошуку подій або Falcon Data Replicator | Телереметрія Falcon як JSON | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | Один об’єкт JSON на рядок | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | Розширені рядки пошуку як JSON | [Defender XDR] |
| Google SecOps | API пошуку UDM або API експорту даних у Cloud Storage | UDM JSON, або оригінальні необроблені логи | [Google SecOps] |
Шість правил, які застосовуються всюди
- Експортуйте події, а не підсумки. Будь-що, що закінчується на stats, summarize, table або агрегація, це звіт, а не логи.
- Спочатку звузьте. Хост, джерело, тип події, часовий проміжок. Порахуйте перед тим, як витягувати; більшість платформ відображають кількість в UI.
- Використовуйте API або CLI для будь-якої кількості, що перевищує кілька тисяч подій. Експорти з браузера можуть перериватися, повторно запускати пошуки, або мовчки обмежувати кількість рядків.
- Зверніть увагу на межу дозволів. Токени API часто показують менше, ніж ваша сесія UI: профілі безпеки QRadar, ролі Splunk, області Graph. Коли цифри не збігаються, спочатку перевірте токен.
- Встановіть часову зону. Використовуйте абсолютні вікна в UTC чи з явним зміщенням. Відносні вікна («останні 24 години») зміщуються, якщо пошук виконується повторно.
- Розпакуйте конверт. Багато API обгортають кожну подію: рядок JSON всередині CloudTrailEvent, масив Records, ключ результату, повідомлення CloudWatch. Розплутайте до однієї події на рядок з jq перед завантаженням.
Що SIEM не може повернути
- Оригінальні двійкові файли. Жодна SIEM не повертає файли Windows EVTX; ви отримуєте відображений текст або JSON. Для EVTX переходьте до хоста.
- Дані, які перевищують час зберігання. Якщо дані застаріли або переміщені в архівний рівень, що вимагає відновлення, звичайний пошук їх не знайде.
- Поля, усунуті під час інгесту. Якщо трубопровід відкинув необроблений рядок або поле, воно зникло. Перевірте перед тим, як обіцяти щось аналітику.
Завантажте, сануйте та перегляньте у LogTotal
LogTotal читає текст у стилі syslog, JSON та EVTX. Текстові та JSON завантаження проходять етап санації перед аналізом.
- Завантаження. Відкрити logtotal.com та переносіть свій експорт.
- Санація.
- Перегляд.
FAQ
Моєї SIEM немає в таблиці. Чи це все ще працює?
Так. Наведені вище правила застосовуються до будь-якої платформи: знайдіть маршрут API або CLI, експортуйте необроблені події для вузького вікна та розпаковуйте JSON до однієї події на рядок. Ми додаємо гіди для решти з понад 65 платформ, які підтримує SOC Prime.
Чому б просто не проаналізувати це у SIEM?
Часто слід так робити. Перевірка на основі файлів потрібна, коли ви хочете мати другий набір виявлень, потрібно обмінятися даними з кимось зовні або хочете перевірити, що вашу SIEM може бути втрачено.
