如何导出Falcon LogScale日志

将您的查询发送到 LogScale 查询 API：POST /api/v1/repositories/<repo>/query，并请求 application/x-ndjson：每行得到一个事件。原始日志行位于 @rawstring 中，因此只需调用一次 jq 即可将导出转换回原始日志。或者，可以直接从 LogScale 用户界面将日志导出为纯文本、JSON 或 CSV。

LogScale（前身为 Humio）专为高容量日志搜索而构建，因此通常拥有团队拥有的最完整记录。Prime Core 为 Falcon LogScale 提供了 23,747 条检测规则，映射到 674 个 MITRE ATT&CK 技术。下面介绍如何将数据导出、清理并在 LogTotal 中免费调查。

本指南涵盖独立使用的 LogScale，无论是云端还是自托管。如果您在 Falcon 控制台内使用 LogScale 作为下一代 SIEM 的一部分，控制台及其 API 是不同的。

免费开始

开始之前

一个令牌。 创建一个具有查询存储库权限的 API 令牌。像对待密码一样对待它。

基础 URL 和存储库。 云客户使用其区域的 URL，例如：https://cloud.us.humio.com。自托管集群使用自己的主机名。您还需要存储库或视图名称。

保留。 每个存储库都有自己的保留期限。在您向任何人承诺一周的历史记录之前，请检查它。

使用查询 API 导出

LS="https://cloud.us.humio.com"
START=$(date -d '2026-10-19T00:00:00Z' +%s000)
END=$(date -d '2026-10-20T00:00:00Z' +%s000)

curl -sS "$LS/api/v1/repositories/security/query" 
  -H "Authorization: Bearer $LOGSCALE_TOKEN" 
  -H "Content-Type: application/json" -H "Accept: application/x-ndjson" 
  -d "{"queryString": "host=web-03", "start": $START, "end": $END, "isLive": false}" 
  > logscale_web03_1019.ndjson

# 仅原始行
jq -r '."@rawstring"' logscale_web03_1019.ndjson > logscale_web03_1019.log

开始和结束值是 epoch 毫秒；类似 “24h” 的相对值也能工作。date -d 语法是 GNU，因此在 macOS 上需要以其他方式计算时间戳。

保持查询为过滤器。任何聚合（groupBy、count、timechart）返回的是聚合结果，而不是事件。对于非常长或重的搜索，使用查询作业 API，该 API 异步运行搜索并让您轮询结果。

通过 Falcon LogScale 搜索用户界面导出日志

对于快速调查或较小的日志样本，您可以直接从 Falcon LogScale 网页界面导出事件，无需使用 API。

1. 打开搜索。 登录 Falcon LogScale，选择包含日志的存储库或视图，并打开 搜索 页面。
2. 运行查询。 输入搜索过滤器，例如 host=web-03。设置时间范围并运行搜索。
3. 检查结果。 确保返回的事件符合您的需求。如果您需要单个日志事件，请避免使用 groupBy()、count() 或 timeChart() 等聚合函数。
4. 导出日志。 从搜索结果中，单击 保存 > 导出数据到文件.
5. 选择文件格式。
   • 纯文本 (.txt): 导出 @rawstring 字段，保留原始日志行。当源包含 syslog 风格文本时，最佳用于 LogTotal。
   • JSON (.json): 导出完整事件对象，包括解析的字段和元数据。当您需要结构化事件时，最佳选择。
   • CSV (.csv): 将选定字段导出到表格中。用于报表有用，但对 LogTotal 的适用性较低。选择“选择全部”在“导出字段”中。
6. 下载。 输入文件名并单击 导出 以便将文件保存到本地。

限制。 纯文本导出要求原始日志内容可在 @rawstring 中使用。如果该字段缺失，则改为将完整事件导出为 JSON。对于大型数据集，缩小时间范围或使用查询 API。非聚合搜索导出可能包含与用户界面结果不同顺序的事件。

在 LogTotal 中上传、清理和审核

1. 上传。 打开 logtotal.com 并拖放文件。
2. 清理。 
3. 审核。 

当事情出错时