如何导出NetWitness日志

在 NetWitness Investigate 中，在事件视图中运行您的查询，选择事件（或全部选择），并下载日志。选择 文本 以获取原始日志行，或 JSON 以获取结构化事件。大规模下载作为作业运行；文件准备好后从“作业”托盘中收集。默认情况下，一次导出可以包含多达 100,000 个会话。

NetWitness（前身为 RSA NetWitness）将日志存储在日志解码器上，并通过集中器和代理使其可搜索。Prime Core 为 NetWitness 提供了 18,461 条检测规则，这些规则映射到 631 个 MITRE ATT&CK 技术。以下是如何提取日志、对其进行净化，并在 LogTotal 中免费调查它们。

开始之前

访问 Investigate。 您需要拥有一个可以对存储日志的服务（Broker 或 Concentrator）进行调查的角色。

设置导出格式一次。 In 配置文件 → 首选项 → 调查， 日志导出格式 首选项决定了下载的默认格式：文本、XML、CSV 或 JSON。选择文本获取原始日志。如果留空，NetWitness 每次会询问。

保留。 您能回溯的数据量取决于日志解码器的存储空间。旧日志可能仅在已归档的文件中存在，如果您有的话。

从 Investigate 导出

1. 打开 Investigate → 事件，选择服务，并设置时间范围。
2. 使用元数据键查询（如下例所示）。
3. 运行查询并检查计数。
4. 选择您想要的事件，或者不选择以获取所有，然后选择下载选项以获取 日志 （文本或 JSON）。
5. 打开 作业 托盘（秒表图标），在作业完成时下载文件。

一个 Linux 主机的查询如下所示。对于 Windows 日志，device.type = ‘winevent_nic’ 是常见的日志解析器。

device.type = 'rhlinux' && alias.host = 'web-03'

对于单个事件，事件详细信息的文本选项卡具有其自己的原始日志下载选项。

The 最大会话导出 设置限制了一个导出中可包含的会话数量（默认 100,000）。对于更大的窗口，按时间拆分。

选项二：使用服务上的 REST API

集中器和代理公开了一个 REST 接口，可以运行查询并返回日志内容。适合脚本化导出。

在 LogTotal 中上传、净化和审查

1. 上传。 打开 logtotal.com ，并将文件拖放进去。
2. 净化。
3. 审查。

实际数据看起来是什么样子的。

当它出错时