Seguir As equipes de segurança não têm escassez de dados — elas têm uma inundação de dados. Um único incidente pode gerar centenas de milhares, às vezes milhões, de eventos de log, e fazer sentido deles sob pressão de tempo é exatamente o tipo de trabalho que quebra pessoas e ferramentas igualmente. A SOC Prime criou o LogTotal para tirar essa pressão, sem exigir que as equipes entreguem as evidências brutas para fazê-lo.
O problema: cada solicitação de “envie-nos os logs” é uma decisão de privacidade
Eventos de endpoint, logs de identidade, trilhas de auditoria na nuvem, syslog, Logs de Eventos do Windows, JSON de aplicativos — este é o material bruto de detecção, caça e resposta. Quando algo dá errado, o primeiro pedido é quase sempre o mesmo: enviar os logs.
Essa solicitação costumava permanecer dentro de um ambiente fechado. Agora, raramente permanece. Logs são anexados a tickets de fornecedores, inseridos em ferramentas de colaboração, enviados para analisadores SaaS, colados em janelas de chat de IA, copiados em espaços de trabalho compartilhados. Cada transferência amplia o círculo de pessoas, sistemas e jurisdições que podem ver os valores originais.
O risco é fácil de perder de vista porque os logs parecem operacionais em vez de confidenciais. Na prática, um evento de autenticação pode conter um nome de usuário, um IP de origem, um nome de estação de trabalho, um cookie de sessão e um token de portador em um cabeçalho de Autorização. Um log adjacente a pagamentos pode conter um número no formato de PAN. Um caminho de arquivo do Windows pode vazar um nome de usuário de diretório pessoal. Um campo rotulado como UserName ou x-api-key frequentemente contém o valor em texto simples, mesmo quando o resto da linha parece inofensivo. Sob o GDPR e regimes semelhantes, a maior parte disso é considerada dados pessoais — e um token ou chave vazado não é um registro histórico, é um caminho de acesso ativo.
Recusar-se a compartilhar os logs e você atrasa a investigação. Compartilhá-los brutos e você corre o risco de violar políticas, contratos ou regulamentações. A redação manual não escala, não é consistente entre analistas e frequentemente remove os identificadores exatos que uma investigação precisa para correlacionar eventos.
Isso não é hipotético. A SOC Prime criou o LogTotal em parte em resposta ao incidente de segurança da HuggingFace em julho de 2026, no qual a tentativa da equipe de enviar aproximadamente 17.000 eventos para modelos de IA de fronteira foi bloqueada por barreiras de proteção — forçando um retrocesso para um modelo GLM local com requisitos de GPU e VRAM que a maioria das organizações simplesmente não possui. O LogTotal foi construído para lidar com esse mesmo trabalho — em até 1.700.000 eventos — sem que ninguém precise de acesso a modelos de fronteira ou a um cluster privado de GPU.
Por que uma simples redação não se sustenta
A maioria das abordagens de redação falham em uma de duas direções.
Máscara estática — transformando todo IP no mesmo espaço reservado, todo usuário em USUÁRIO — destrói o que torna a investigação possível: correlação. Se dez falhas de logon todas se resumirem ao mesmo token, você não pode mais distinguir uma única conta comprometida de um ataque de spray de credenciais atingindo dez pessoas diferentes.
Busca e substituição simples falha de outra forma. Ela deixa passar valores em codificações incomuns ou JSON aninhado e exagera na redação de coisas que só parecem sensíveis — números de versão no formato de IPs, UUIDs usados como IDs de mensagem, nomes de host bem conhecidos que não são sensíveis. Hashing sem chave não resolve isso: um hash bruto de um valor comum pode ser revertido por adivinhação de dicionário e hashes idênticos sem sal entre diferentes organizações podem, acidentalmente, conectar incidentes não relacionados.
O LogTotal foi construído para evitar ambos os modos de falha.
Como funciona de fato
- A sanitização acontece localmente, em seu navegador, antes que qualquer coisa seja enviada a qualquer lugar. Você pode baixar o log sanitizado a qualquer momento — você sempre tem uma cópia limpa do que foi analisado.
- Seus arquivos nunca saem do seu controle sem serem sanitizados, e nada é armazenado. O LogTotal não retém seus logs após a análise, e a SOC Prime não precisa — a plataforma não está treinando em seus dados.
- Faça upload no formato nativo. O LogTotal detecta automaticamente EVTX, CEF, JSON/NDJSON e syslog — sem conversão manual.
- Seus eventos sanitizados são correlacionados em escala. O LogTotal os executa contra aproximadamente 1.000.000 de regras de detecção e um conjunto de dados de 13.000 rótulos, depois aplica Higher Order Sigma Rules e correlação de IA agente para conectar eventos relacionados em um quadro coerente — até 1,7 milhão de eventos, em menos de um minuto.
- Você obtém uma investigação, não um despejo. Os resultados são estruturados como achados no site do LogTotal, não uma parede de correspondências brutas.
No entanto, a sanitização de logs é apenas o primeiro estágio do LogTotal uma vez que sai da pré-visualização. Em breve, algo ainda mais poderoso: logs sanitizados verificados contra dezenas de milhares de regras de comportamento, com correspondências correlacionadas em torno de regras Higher Order Sigma para ameaças ativas.
Onde as equipes podem usar isso
- Resposta a incidentes com retenedores externos. Sanitizar um pacote de log com uma chave que você retém. O retenedor ainda pode agrupar hosts, usuários e endereços — e você pode mapear tokens internamente se uma identidade específica precisar ser nomeada em um briefing privilegiado.
- Suporte a fornecedores e casos TAC. “O arquivo de log que mostra o erro” é famoso por conter detalhes do ambiente não relacionados ao ticket. Sanitizar antes de anexá-lo reduz a divulgação acidental sem transformar o arquivo em ruído.
- Engenharia de detecção e teste de regras. Logs de amostra são como as detecções são escritas e validadas — e como identidades de produção vazam no histórico do git, artefatos de CI e ambientes de demonstração. Fixture sanitizing uma vez, com uma chave compartilhada dentro da equipe, mantém os exemplos correlacionáveis enquanto remove segredos.
- Compartilhamento pré-SIEM ou pré-lake. Nem todos os pipelines precisam de um processador comercial para redigir um arquivo em lote. Para exportações, buscas pontuais e transferências entre equipes, um sanitizador local é o controle que as pessoas realmente usarão.
- Revisões de GDPR e privacidade. Pseudonimização não é uma isenção ampla, mas substituir identificadores por tokens com chave antes que um arquivo deixe a organização é uma medida técnica concreta — uma que você pode apontar e descrever: o que foi removido, o que foi retido, como os tokens foram gerados, quem detém a chave.
- Análise assistida por IA sem expor telemetria bruta. Seja o destino o LogTotal, um modelo interno, ou um ambiente de fornecedor restrito, a pergunta é a mesma: o modelo precisa da senha real, ou precisa saber que um segredo estava presente e o mesmo usuário tocou três hosts?
Experimente o LogTotal
A Plataforma SOC Prime existe para ajudar as equipes de segurança a antecipar, detectar, validar e responder a ameaças mais rapidamente. Essa missão nunca exigiu a coleta de segredos dos clientes. O LogTotal a estende para análise de eventos privados em escala comunitária.
As equipes de segurança não devem ter que escolher entre uma investigação completa e uma narrativa defensável de manuseio de dados. Sanitizar primeiro. Correlacionar em tokens. Manter a chave. Analisar a evidência que resta.
Explore o LogTotal em https://logtotal.com.
Junte-se à Plataforma SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudar você a começar e gerar valor imediato, agende uma reunião agora com especialistas da SOC Prime.
