关注 Cortex XSIAM 使用与 Cortex XDR 相同的 XQL 查询 API：启动查询，等待结果，并对超过 1,000 行的内容使用流。不同的是数据。第三方日志落在原始数据集中，通常命名为 <vendor>_<product>_raw，原始日志行存放在 _raw_log 字段中。选择该字段，导出为您提供源发送的内容。
XSIAM 是 Palo Alto Networks 的 SOC 平台，许多前 QRadar SaaS 客户在 2024 年交易后使用。Prime Core 具有超过 24,000 条独特的检测规则，映射到 676 个 MITRE ATT&CK 技术。以下是如何获取数据、清理并免费在 LogTotal 中调查。
开始之前
一个 API 密钥和 URL。 创建一个具有可运行 XQL 查询角色的密钥；记录下密钥，其 ID 以及显示的 API URL。
查找数据集。 在查询生成器中，列出数据集（dataset = 提供建议）。原始第三方数据遵循 <vendor>_<product>_raw 模式，例如 fortinet_fortigate_raw。端点遥测在 xdr_data 中。
热存储和冷存储。 最近的数据在热存储中并快速查询。较旧的数据可能在冷存储中，需要其自己的查询方法且耗费更多配额。
使用 XQL API 导出
要从 FortiGate 数据集中获取原始行：
dataset = fortinet_fortigate_raw
| filter _raw_log contains "web-03"
| fields _time, _raw_log
通过 start_xql_query 和 get_query_results（再加上超过 1,000 行的 get_query_results_stream）运行，就像在 Cortex XDR 指南中那样。然后将 JSON 转为原始行：
jq -r '._raw_log' xsiam_fortigate_1019.jsonl > xsiam_fortigate_1019.log
对于跨来源的规范化数据，改为查询数据模型 (XDM)。您将获得一致的字段名称，但没有原始语言。
在 LogTotal 中上传、清理并审核
- 上传。 打开 logtotal.com 并拖放文件：_raw_log 中的原始行，或者 JSON 行。
- 清理。
- 审核。
出现问题时
| 症状 | 可能原因 | Fix |
|---|---|---|
| 找不到数据集 | 名称在您的租户中有所不同 | 在查询生成器中列出数据集 |
| _raw_log 为空 | 来源以结构化数据形式被摄取 | 导出解析后的字段 |
| 结果正好 1,000 条 | 未使用流 | 使用 get_query_results_stream |
| 配额错误 | XQL 配额已用，或冷存储查询 | 收窄窗口；检查配额 |
| 旧数据丢失 | 在冷存储中 | 查询冷存储，或恢复数据 |
FAQ
原始还是 XDM？
对 LogTotal 使用原始 (_raw_log)，因为它保留了源的格式。需要跨多个来源相同字段时使用 XDM。
我从 QRadar SaaS 搬迁过来。我的旧数据在这里吗？
取决于您的迁移。检查哪些数据集保留了迁移的历史记录。
