关注 安装 LimaCharlie CLI（pip install limacharlie），使用您的组织 ID 和 API 密钥登录，并运行包含所需时间范围的 LCQL 查询，输出为 JSON。事件以 LimaCharlie 的 {routing, event} 结构返回。对于连续、大量的导出，配置输出到 S3、Google Cloud Storage 或其他目的地。
LimaCharlie 默认在其 Insight 数据湖中保留一年期的遥测数据，这使得事后调查异常实用。Prime Core 拥有超过 24,000 条独特的检测规则，映射到 676 个 MITRE ATT&CK 技术。下面是关于如何导出事件、净化它们，并在 LogTotal 中免费调查它们的方法。
开始之前
一个 API 密钥和您的 OID。 两者均在网络应用程序中 访问管理 → REST API。为密钥赋予查询 Insight 的必要权限。
查询是有成本的。 LCQL 查询根据它们扫描的数据计费。干运行首先为您提供一个预估。在扩大时间范围之前，根据平台、事件类型和主机进行缩小。
了解事件类型。 LimaCharlie 按类型命名事件：NEW_PROCESS、DNS_REQUEST、NETWORK_CONNECTIONS、WEL（Windows 事件日志）等。选择那些对您的问题重要的。
使用 CLI 导出
pip install limacharlie
limacharlie auth login # 请求您的 OID 和 API 密钥
limacharlie search run
--query 'plat == windows | NEW_PROCESS DNS_REQUEST | routing/hostname == "ws-042"'
--start $(date -d '2026-10-19T00:00:00Z' +%s)
--end $(date -d '2026-10-20T00:00:00Z' +%s)
--oid <oid> --output json > lc_ws042_1019.json
LCQL 查询具有用管道分隔的部分：传感器选择器（plat == windows）、事件类型、一个过滤器，以及可选的字段投影。如果输出是一个数组，用 jq -c ‘.[]’ 将其扁平化。
CLI 还可以从普通语言描述生成 LCQL 查询（limacharlie ai generate-query），当您不记得字段路径时会有所帮助。
批量：输出
对于持续的导出，在 web 应用程序中添加一个输出，将事件（以及检测或审计日志，如果需要的话）发送到 S3、Google Cloud Storage、SIEM 或 webhook。输出从创建那一刻开始发送数据。对于历史记录，请如上查询 Insight。
在 LogTotal 中上传、净化和审核
- 上传。 打开 logtotal.com 并拖入文件。
- 净化。
- 审核。
当出现问题时
| 症状 | 可能原因 | Fix |
|---|---|---|
| 身份验证错误 | OID 或密钥错误，或缺少权限 | 使用查询权限重建密钥 |
| 查询慢或昂贵 | 范围过宽：所有事件、所有传感器 | 添加传感器选择器和事件类型 |
| 没有结果 | 主机名在错误的字段中，或错误的事件类型 | 首先用一个小查询检查字段路径 |
| 没有超过一年的数据 | Insight 保留期 | 使用您的输出目的地获取更旧的数据 |
FAQ
LimaCharlie 可以从终端收集 EVTX 文件吗？
可以，作为从传感器收集的工件，Windows 事件日志也作为 WEL 事件流入。
是否有较旧的交互式查询模式？
有。较早的 CLI 版本有一个交互式 limacharlie query shell，具有 set_output 和 set_format json。search run 命令是可脚本化的路径。
