如何导出 Exabeam 日志

在 New-Scale 安全运营平台上，使用您的 API 密钥获取访问令牌，然后调用事件搜索 API，使用过滤器、时间范围和您所需的字段。您将得到 JSON 数据，每个事件一行。搜索应用程序还可以从用户界面导出结果。老旧的本地部署的 Exabeam 数据湖操作方式有所不同；请参阅 FAQ。

Exabeam 收集用于行为分析和 SIEM 的日志，并且自与 LogRhythm 合并以来，覆盖了市场的很大份额。Prime Core 针对 Exabeam 制定了 15,635 条检测规则，映射到 542 项 MITRE ATT&CK 技术。以下是如何提取事件、清理事件，并在 LogTotal 中免费调查它们的方法。

免费开始

开始之前

一个 API 密钥。 在平台的 API 密钥设置中创建一个客户端 ID 和密钥，拥有搜索事件的权限。

您的区域 API 主机。 遵循 api.<region>.exabeam.cloud 模式，例如 api.us-west.exabeam.cloud 或 api.us-east.exabeam.cloud。

查询语法。 事件搜索使用 Lucene 风格的过滤器，与您在搜索应用程序中输入的相同。请先在那儿测试。

使用搜索 API 导出

BASE="https://api.us-west.exabeam.cloud"

# 1. 访问令牌
TOKEN=$(curl -sS -X POST "$BASE/auth/v1/token" -H 'Content-Type: application/json' 
  -d "{"client_id": "$EXA_ID", "client_secret": "$EXA_SECRET", "grant_type": "client_credentials"}" 
  | jq -r '.access_token')

# 2. 事件搜索
curl -sS -X POST "$BASE/search/v2/events" 
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' 
  -d '{
    "filter": "host:"web-03"",
    "startTime": "2026-10-19T00:00:00Z",
    "endTime": "2026-10-20T00:00:00Z",
    "fields": ["*"],
    "limit": 10000
  }' > exabeam_web03_1019.json

jq -c '.rows[]' exabeam_web03_1019.json > exabeam_web03_1019.jsonl

在 LogTotal 中上传、清理和审查

1. 上传。 打开 logtotal.com 并拖入 .jsonl 文件。
2. 清理。
3. 审查。 

当出现错误时