Analítica de Logs con LogTotal

¿Qué es el Análisis de Registros?

El análisis de registros es la práctica de recolectar, analizar, normalizar y consultar registros de eventos generados por máquinas para responder a una pregunta operacional o de seguridad. En un SOC, esa pregunta suele ser específica: ¿este usuario se autenticó desde una fuente inesperada, este host generó un proceso secundario inusual, qué llamadas API precedieron la transferencia de datos?

El material en bruto es heterogéneo: canales de Seguridad y Sysmon de Windows en archivos .evtx, salida de auth.log y journald de Linux, eventos de cortafuegos y proxy en CEF, y registros de auditoría en la nube como AWS CloudTrail o los registros de inicio de sesión de Microsoft Entra ID exportados como JSON.

Un pipeline de análisis de registros funcional tiene cuatro etapas:

1. Recolección. Exporta eventos desde la fuente sin perder campos o marcas de tiempo.
2. Normalización. Mapea src_ip, IpAddress, y sourceIPAddress a un esquema común.
3. Detección. Ejecuta reglas Sigma o de proveedores y etiqueta cada coincidencia con técnicas de MITRE ATT&CK.
4. Correlación. Agrupa coincidencias relacionadas en una línea de tiempo o cadena de ataque que un analista puede validar.

Por qué el Análisis de Registros es Importante para la Detección y Respuesta

Los registros son a menudo el único testimonio que sobrevive a una intrusión. La telemetría de EDR se sobrescribe, la memoria se pierde al reiniciar, y la captura de paquetes rara vez está ejecutándose cuando se necesita. Los IDs de evento de Windows 4624, 4672 y 4688, o las llamadas de CloudTrail como ConsoleLogin y CreateAccessKey, suelen ser las principales pruebas para delimitar un incidente.

Tres presiones convierten el análisis de registros en una habilidad clave del SOC en lugar de una característica de SIEM:

• Volumen. Un solo incidente puede producir millones de eventos, y grep solo encuentra lo que ya sabes buscar.
• Lagunas de cobertura. Las laptops de contratistas, los segmentos OT, y los inquilinos SaaS que nadie conectó no están en el SIEM, pero sus registros aún necesitan análisis.
• Manejo de datos. Los registros llevan nombres de usuario, nombres de host, IPs, cookies de sesión y tokens de acceso. Bajo el RGPD, gran parte de eso es dato personal, y un token filtrado es una vía de acceso en uso.

Cada registro adjunto a un ticket de proveedor o pegado en un chat de IA amplía el círculo de personas y jurisdicciones que pueden leer los valores originales. Un buen análisis de registros responde a la pregunta rápidamente sin crear un segundo incidente.

Una Breve Historia del Análisis de Registros

Syslog, escrito por Eric Allman para Sendmail a principios de los 1980, fue estandarizado más tarde en RFC 3164 (2001) y RFC 5424 (2009). Durante dos décadas, el análisis de registros significaba grep y awk en un servidor syslog central.

Windows adoptó un formato estructurado. Windows Vista reemplazó el formato .evt heredado por el formato .evtx basado en XML y el modelo de canales que todavía se usa hoy, y Sysmon (2014) agregó telemetría de procesos y redes de alta fidelidad.

A mediados de los 2000 apareció SIEM. ArcSight, QRadar y más tarde Splunk hicieron que la búsqueda y correlación centralizada fuera una categoría de producto, y el CEF de ArcSight aún es emitido por la mayoría de los dispositivos de red. Los años 2010 añadieron pilas abiertas como ELK y registros de auditoría en la nube como CloudTrail (2013).

En 2017, Sigma ofreció a los defensores un formato de reglas neutrales al proveedor. El mismo año, SOC Prime comenzó a etiquetar reglas Sigma con técnicas de MITRE ATT&CK y aplicó el enfoque a la investigación pública de NotPetya. El mapeo ATT&CK se ha convertido desde entonces en una expectativa por defecto para el contenido de detección.

Hacia Dónde se Dirige el Análisis de Registros

La detección avanza hacia el inicio del pipeline. Los equipos ejecutan reglas Sigma en eventos en streaming en el pipeline antes de que los datos lleguen al SIEM, reduciendo el costo de almacenamiento y disminuyendo el tiempo medio de detección de horas a minutos.

La correlación supera a las alertas individuales. Las coincidencias aisladas de baja fidelidad son ruido. La lógica de orden superior que vincula técnicas a través de hosts y ventanas de tiempo en cadenas de ataque da a los analistas algo para confirmar o cerrar.

AI triage se encuentra con los límites del manejo de datos. Los LLM explican bien los árboles de procesos y resumen las líneas de tiempo, pero enviar telemetría en bruto a un proveedor de modelos plantea preguntas de privacidad y contractuales, y los modelos de vanguardia pueden rechazar contenido de seguridad totalmente. Durante la respuesta al incidente de HuggingFace en julio de 2026, un intento de enviar alrededor de 17,000 eventos a modelos de vanguardia fue bloqueado por barreras de seguridad.

La seudoanonimización se convierte en una etapa del pipeline. El enmascaramiento estático destruye la correlación, y los hashes simples pueden ser revertidos mediante adivinación de diccionario. Los tokens HMAC con clave mantienen intactas las relaciones mientras se eliminan los valores. Espera este paso frente a cada destino externo: servicios de IA, soporte de proveedores, MSSPs y lagos de datos compartidos.

Beneficios del Análisis de Registros

• Delimitación más rápida para los respondedores de incidentes. Una línea de tiempo correlacionada responde «qué hosts, qué cuentas, desde cuándo» en minutos, lo que impulsa el confinamiento y acorta el tiempo de permanencia.
• Detecciones validadas para ingenieros. Reproducir registros contra la lógica de reglas muestra qué reglas Sigma se activan, cuáles son ruidosas y qué técnicas ATT&CK no tienen cobertura.
• Evidencia de cumplimiento. El Requisito 10 de PCI DSS, el control A.8.15 de ISO/IEC 27001, y NIS2 esperan que los eventos de seguridad sean registrados y revisados.
• Causa raíz para administradores. La salida de journalctl que explica un servicio fallido a menudo revela una mala configuración que un atacante podría aprovechar.
• Menor costo de SIEM. Puedes analizar una fuente de corta vida una vez sin incorporarla.
• Colaboración más segura. Los registros seudoanonimizados permiten a un retenedor, MSSP, o TAC de proveedor agrupar hosts y usuarios sin ver identidades reales.

Casos de Uso del Análisis de Registros

Triage de hosts no gestionados. Se sospecha que una laptop de contratista sin EDR ha sido comprometida. Exporta los registros de Seguridad, Sysmon y PowerShell y verifica los hallazgos de LogTotal sobre acceso a credenciales (T1003), ejecución de PowerShell (T1059.001), y tareas programadas (T1053.005) antes de volver a crear la imagen.

Toma de control de cuentas en la nube. Luego de un ConsoleLogin no familiar, extrae 72 horas de CloudTrail e inicios de sesión de Entra ID y busca nuevas claves de acceso, cambios de MFA, y ediciones de políticas IAM.

Retenedores de IR externos y TAC de proveedores. Sanea la evidencia con una clave que conserves. La tercera parte aún agrupa hosts y usuarios por token, y tú mapeas los tokens de vuelta internamente.

Ingeniería de detección. Reproduce registros de Atomic Red Team o Caldera para confirmar qué reglas se activan, luego sanea las fijaciones antes de que lleguen a Git o los artefactos de CI.

Revisiones de privacidad. La seudoanonimización con clave es una medida técnica documentable bajo el Artículo 32 del RGPD: qué fue sustituido, cómo se generaron los tokens, quién tiene la clave.

Cómo Realizar el Análisis de Registros: Localizar y Exportar Registros por Plataforma

Cada procedimiento abajo termina en un formato que LogTotal lee de manera nativa: EVTX, CEF, JSON/NDJSON, o syslog. Fija primero la ventana de tiempo UTC y el alcance, y hashea cada exportación (Get-FileHash o sha256sum) para la cadena de custodia.

Windows (EVTX). Requiere un shell elevado como Administrador local. Los archivos .evtx en vivo bajo %SystemRoot%System32winevtLogs están bloqueados por el servicio del Registro de Eventos, así que expórtalos con wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl «Microsoft-Windows-Sysmon/Operational» C:IRSysmon.evtx

Añade /q:»*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]» para limitar la exportación a 24 horas. Ruta de GUI: eventvwr.msc → Registros de Windows → Seguridad → Guardar Todos los Eventos Como…

Linux (syslog o NDJSON). Requiere root o pertenencia a adm / systemd-journal. Copia /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL). Para journald:

sudo journalctl –since «2026-10-20» –until «2026-10-21» –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Requiere cloudtrail:LookupEvents. CloudTrail → Historial de eventos → Descargar eventos → Descargar JSON cubre 90 días de eventos de gestión. Desde un bucket de trail (s3:GetObject, kms:Decrypt), aplana los registros en NDJSON:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID y Microsoft 365 (JSON). Centro de administración de Entra → Identidad → Monitoreo & salud → Registros de inicio de sesión → Descargar → JSON (Rol de Lector de Informes). Para los datos de auditoría de Purview, evita la exportación CSV y extrae directamente el JSON (Rol de Registros de Auditoría):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Dispositivos de red (CEF). Cambia el dispositivo a CEF (en FortiGate: config log syslogd setting → set format cef) y exporta líneas que contengan CEF:0| desde el recolector de syslog.

Ofertas de SOC Prime para el Análisis de Registros

• Threat Detection Marketplace: más de 1,000,000 reglas de detección nativas de Sigma, traducidas a lenguajes de SIEM, EDR y lagos de datos y etiquetadas con ATT&CK.
• Prime Hunt: escanea datos históricos de SIEM, EDR y lagos de datos con reglas relevantes e infiere Cadenas de Ataque de los resultados.
• Prime Detect: ejecuta reglas Sigma en eventos de streaming antes del SIEM y las correlaciona en Cadenas de Ataque en tiempo real.
• Uncoder.IO: traduce reglas Sigma y Roota en consultas nativas.
• LogTotal: análisis gratuito y sin registro de archivos de registro exportados con saneamiento en el navegador.
• logtotal-sanitizer: el motor Apache 2.0 detrás de LogTotal, como una biblioteca y CLI de Node.js para uso en las instalaciones o aislado.

LogTotal cubre el caso del que trata esta guía: un archivo de una fuente fuera de tu SIEM, o uno que no puedes compartir en bruto. Cada análisis se ejecuta en una instancia desechable y dedicada del motor DetectFlow de SOC Prime y se elimina posteriormente.

Cómo Funciona el Análisis de Registros con LogTotal

LogTotal es gratuito, no requiere cuenta y sanear archivos en tu navegador antes de que algo se cargue. SOC Prime no retiene los registros después del análisis ni entrena con ellos.

1. Abre logtotal.com en una versión actual de Chromium, Firefox o Safari.
2. Carga la exportación. Suelta el archivo .evtx, .log, .json, o .ndjson. El formato se detecta automáticamente.
3. Revisa el saneamiento. Secretos, cookies, identificadores de pago, IPs, nombres de host, nombres de usuario, y caminos de directorios de inicio se convierten en tokens HMAC-SHA-256 con clave como <USER:…> o <IP:…>. Los valores idénticos obtienen tokens idénticos, por lo que diez cuentas rociadas aún parecen diez usuarios.
4. Descarga la copia saneada para tu archivo de caso. Es exactamente lo que se analizó.
5. Ejecuta el análisis. Los eventos se comprueban contra aproximadamente 1,000,000 de reglas de detección y 13,000 etiquetas, luego se correlacionan con reglas Sigma de Orden Superior y AI agentica. SOC Prime cita hasta 1.7 millones de eventos en menos de un minuto.
6. Lee los hallazgos. Las detecciones se mapean a ATT&CK, se agrupan en cadenas de ataque y se explican mediante AI. Un token que aparece en hallazgos de acceso a credenciales y movimiento lateral es tu cuenta para restablecer.

Para varios hosts, o cuando las cargas en el navegador están prohibidas, sana localmente con el CLI de código abierto (Node.js 20+) y reutiliza una clave para que los tokens coincidan entre archivos:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key «$KEY»