如何导出Securonix日志

生成一个 API 令牌，通过 Securonix REST API (/ws/spotter/index/search) 运行您的 Spotter 查询，并将事件保存为 JSON。当源发送原始文本时，通常会在原始事件字段中保留原始行。UI 中的 Spotter 也可以导出结果。 

Securonix 汇集了大量活动数据用于 UEBA 和 SIEM，使其成为导出调查片段的丰厚场所。Prime Core 为 Securonix 提供了 14,283 条检测规则，映射到 620 个 MITRE ATT&CK 技术。下面是如何导出数据、清理及在 LogTotal 免费调查的过程。

免费开始

在你开始之前

API 访问。 您需要一个被允许使用 API 的 Securonix 用户。令牌根据该用户的凭据生成，并有您选择的有效期。

您的租户 URL。 云租户通常看起来像 https://<tenant>.securonix.net/Snypr。

保留。 热数据可以直接在 Spotter 中搜索。较旧的数据可能存放在需要额外步骤搜索的长期存储中。 

使用 REST API 导出

BASE="https://<tenant>.securonix.net/Snypr"

# 1. 令牌，有效期为一天
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1" 
  "$BASE/ws/token/generate")

# 2. Spotter 查询时间窗口
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search" 
  --data-urlencode 'query=index=activity AND devicehostname="web-03"' 
  --data-urlencode 'eventtime_from=10/19/2026 00:00:00' 
  --data-urlencode 'eventtime_to=10/20/2026 00:00:00' 
  > snx_web03_1019.json

# 3. 每行一个事件
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl

在 LogTotal 上传、清理和审核

1. 上传。 打开 logtotal.com 然后拖入文件。
2. 清理。 在继续之前仔细查看。
3. 审核。 

出现问题时