Análise de Logs com LogTotal

O que é Análise de Logs?

A análise de logs é a prática de coletar, analisar, normalizar e consultar registros de eventos gerados por máquinas para responder a uma pergunta operacional ou de segurança. Em um SOC, essa pergunta geralmente é específica: essa conta foi autenticada de uma fonte inesperada, esse host gerou um processo filho incomum, quais chamadas de API precederam a transferência de dados.

O material bruto é heterogêneo: canais de Segurança do Windows e Sysmon em arquivos .evtx, saídas auth.log e journald do Linux, eventos de firewall e proxy em CEF e trilhas de auditoria em nuvem, como AWS CloudTrail ou logs de entrada do Microsoft Entra ID, exportados como JSON.

Um pipeline funcional de análise de logs possui quatro estágios:

1. Coleta. Exporte eventos da fonte sem perder campos ou timestamps.
2. Normalização. Mapeie src_ip, IpAddress e sourceIPAddress para um esquema comum.
3. Detecção. Execute regras Sigma ou do fornecedor e marque cada acerto com técnicas MITRE ATT&CK.
4. Correlação. Agrupe acertos relacionados em uma linha do tempo ou cadeia de ataque que um analista possa validar.

Comece Gratuitamente

Por que a Análise de Logs é Importante para Detecção e Resposta

Os logs são frequentemente o único registro que sobrevive a uma intrusão. A telemetria EDR se renova, a memória se perde na reinicialização e a captura de pacotes raramente está em execução quando necessária. IDs de Evento do Windows 4624, 4672 e 4688, ou chamadas CloudTrail como ConsoleLogin e CreateAccessKey, são tipicamente as evidências primárias para delimitar um incidente.

Três pressões fazem da análise de logs uma habilidade central do SOC ao invés de uma característica do SIEM:

• Volume. Um único incidente pode produzir milhões de eventos, e grep só encontra o que você já sabe procurar.
• Lacunas de cobertura. Laptops de contratados, segmentos OT e locatários SaaS que ninguém conectou não estão no SIEM, mas seus logs ainda precisam de análise.
• Manipulação de dados. Os logs carregam nomes de usuário, nomes de host, IPs, cookies de sessão e tokens portadores. Sob o GDPR, muito disso é dado pessoal, e um token vazado é um caminho de acesso ativo.

Cada log anexado a um ticket de fornecedor ou colado em um chat de IA amplia o círculo de pessoas e jurisdições que podem ler os valores originais. Uma boa análise de logs responde à pergunta rapidamente sem criar um segundo incidente.

Uma Breve História da Análise de Logs

Syslog, escrito por Eric Allman para Sendmail no início dos anos 80, foi posteriormente padronizado no RFC 3164 (2001) e no RFC 5424 (2009). Por duas décadas, a análise de logs significava grep e awk em um servidor syslog central.

O Windows se tornou estruturado. O Windows Vista substituiu o formato .evt legaciar pelo formato .evtx baseado em XML e o modelo de canal ainda usado hoje, e Sysmon (2014) adicionou telemetria de processo e rede de alta fidelidade.

Meados dos anos 2000 trouxe o SIEM. ArcSight, QRadar e, posteriormente, Splunk transformaram a busca e correlação centralizada em uma categoria de produto, e o CEF da ArcSight ainda é emitido pela maioria dos dispositivos de rede. Os anos 2010 adicionaram pilhas abertas como ELK e trilhas de auditoria em nuvem como CloudTrail (2013).

Em 2017, Sigma deu aos defensores um formato de regra neutro para fornecedores. No mesmo ano, a SOC Prime começou a marcar regras Sigma com técnicas MITRE ATT&CK e aplicou a abordagem à investigação pública do NotPetya. O mapeamento ATT&CK desde então se tornou uma expectativa padrão para conteúdo de detecção.

Para onde a Análise de Logs Está Caminhando

A detecção se move para upstream. As equipes executam regras Sigma em eventos de streaming no pipeline antes que os dados cheguem ao SIEM, reduzindo o custo de armazenamento e diminuindo o tempo médio de detecção de horas para minutos.

A correlação supera alertas individuais. Correspondências de baixa fidelidade isoladas são ruído. A lógica de ordem superior que vincula técnicas em vários hosts e janelas de tempo em cadeias de ataque dá aos analistas algo para confirmar ou encerrar.

A triagem por IA encontra limites de manipulação de dados. Os LLMs explicam bem árvores de processo e resumem linhas do tempo, mas enviar telemetria bruta para um provedor de modelo levanta questões de privacidade e contratuais, e modelos pioneiros podem recusar conteúdo de segurança completamente. Durante a resposta ao incidente do HuggingFace de julho de 2026, uma tentativa de enviar cerca de 17.000 eventos para modelos pioneiros foi bloqueada por barreiras.

A pseudonimização torna-se uma fase do pipeline. A máscara estática destrói a correlação, e hashes simples podem ser revertidos por adivinhação de dicionário. Tokens HMAC chaveados mantêm os relacionamentos intactos enquanto removem os valores. Espere por esta etapa antes de cada destino externo: serviços de IA, suporte de fornecedores, MSSPs e lakes de dados compartilhados.

Benefícios da Análise de Logs

• Escopo mais rápido para respondedores de incidentes. Uma linha do tempo correlacionada responde “quais hosts, quais contas, desde quando” em minutos, o que impulsiona o confinamento e reduz o tempo de permanência.
• Detecções validadas para engenheiros. Re-executar logs contra a lógica de regras mostra quais regras Sigma disparam, quais são ruidosas e quais técnicas ATT&CK não têm cobertura.
• Evidência de conformidade. PCI DSS Requisito 10, controle ISO/IEC 27001 A.8.15 e NIS2 esperam todos que eventos de segurança sejam registrados e revisados.
• Causa raiz para administradores. A saída journalctl que explica um serviço falho muitas vezes revela uma configuração incorreta que um atacante poderia explorar.
• Custo menor de SIEM. Você pode analisar uma fonte de curta duração uma vez sem integrá-la.
• Colaboração mais segura. Logs pseudonimizados permitem que um prestador de serviços, MSSP ou TAC do fornecedor agrupem hosts e usuários sem ver identidades reais.

Casos de Uso para Análise de Logs

Triagem de host não gerenciado. Um laptop de contratado sem EDR é suspeito de comprometimento. Exporte logs de Segurança, Sysmon e PowerShell e verifique as descobertas do LogTotal para acesso a credenciais (T1003), execução do PowerShell (T1059.001) e tarefas agendadas (T1053.005) antes de reimagem.

Assumir controle de conta em nuvem. Após um ConsoleLogin desconhecido, puxe 72 horas de CloudTrail e logins do Entra ID e procure por novas chaves de acesso, mudanças de MFA e edições de política IAM.

Retentores de IR externos e TAC de fornecedores. Sanitize as evidências com uma chave que você mantém. A terceira parte ainda agrupa hosts e usuários por token, e você mapeia os tokens internamente.

Engenharia de detecção. Re-execute logs do Atomic Red Team ou Caldera para confirmar quais regras disparam, depois sanitize os fixtures antes que cheguem ao Git ou artefatos de CI.

Revisões de privacidade. Pseudonimização chaveada é uma medida técnica documentável sob o Artigo 32 do GDPR: o que foi substituído, como os tokens foram gerados, quem possui a chave.

Como Realizar Análise de Logs: Localize e Exporte Logs por Plataforma

Cada procedimento abaixo termina em um formato lido nativamente pelo LogTotal: EVTX, CEF, JSON/NDJSON ou syslog. Corrija primeiro a janela de tempo UTC e escopo, e hashe cada exportação (Get-FileHash ou sha256sum) para cadeia de custódia.

Windows (EVTX). Requer um shell elevado como Administrador local. Arquivos .evtx ao vivo em %SystemRoot%System32winevtLogs são bloqueados pelo serviço de Log de Eventos, então exporte-os com wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

Adicione /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” para limitar a exportação a 24 horas. Caminho GUI: eventvwr.msc → Logs do Windows → Segurança → Salvar Todos os Eventos Como…

Linux (syslog ou NDJSON). Requer root ou membro em adm / systemd-journal. Copie /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL). Para journald:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Requer cloudtrail:LookupEvents. CloudTrail → Histórico de eventos → Baixar eventos → Baixar JSON cobre 90 dias de eventos de gestão. De um bucket de trilhas (s3:GetObject, kms:Decrypt), chplan as registros em NDJSON:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID e Microsoft 365 (JSON). Centro de administração do Entra → Identidade → Monitoramento e saúde → Logs de entrada → Baixar → JSON (papel de Leitor de Relatórios). Para dados de auditoria Purview, pule a exportação CSV e puxe o JSON diretamente (papel de Logs de Auditoria):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Dispositivos de rede (CEF). Alterne o dispositivo para CEF (no FortiGate: config log syslogd setting → set format cef) e exporte linhas contendo CEF:0| do coletor syslog.

Ofertas da SOC Prime para Análise de Logs

• Threat Detection Marketplace: 1.000.000+ regras de detecção nativas Sigma, traduzidas para idiomas de SIEM, EDR e data lake e marcadas com ATT&CK.
• Prime Hunt: examina dados históricos de SIEM, EDR e data lake com regras relevantes e infere Cadeias de Ataque dos resultados.
• Prime Detect: executa regras Sigma em eventos de streaming antes do SIEM e as correlaciona em Cadeias de Ataque em tempo real.
• Uncoder.IO: traduz regras Sigma e Roota em consultas nativas.
• LogTotal: análise gratuita e sem inscrição de arquivos de logs exportados com sanitização no navegador.
• logtotal-sanitizer: o motor Apache 2.0 por trás do LogTotal, como uma biblioteca Node.js e CLI para uso on-prem ou isolado.

O LogTotal abrange o caso sobre o qual este guia trata: um arquivo de uma fonte fora do seu SIEM, ou um que você não pode compartilhar cru. Cada análise é executada em uma instância descartável e dedicada do motor DetectFlow da SOC Prime e é excluída posteriormente.

Como Funciona a Análise de Logs com LogTotal

O LogTotal é gratuito, não precisa de conta e sanitiza arquivos no seu navegador antes de qualquer coisa ser carregada. A SOC Prime não retém logs após a análise nem treina com eles.

1. Abra logtotal.com em uma versão atual do Chromium, Firefox ou Safari.
2. Carregue a exportação. Solte o arquivo .evtx, .log, .json ou .ndjson. O formato é detectado automaticamente.
3. Revise a sanitização. Segredos, cookies, IDs de pagamento, IPs, nomes de hosts, nomes de usuários e caminhos de diretórios domésticos tornam-se tokens HMAC-SHA-256 chaveados, como <USER:…> ou <IP:…>. Valores idênticos recebem tokens idênticos, de modo que dez contas pulverizadas ainda parecem dez usuários.
4. Baixe a cópia sanitizada para seu arquivo de caso. É exatamente o que foi analisado.
5. Execute a análise. Os eventos são checados contra cerca de 1.000.000 de regras de detecção e 13.000 rótulos, depois correlacionados com regras Sigma de Ordem Superior e IA agente. A SOC Prime cita até 1,7 milhões de eventos em menos de um minuto.
6. Leia as descobertas. As detecções são mapeadas para ATT&CK, agrupadas em cadeias de ataque e explicadas por IA. Um token que aparece em achados de acesso a credenciais e movimentação lateral é sua conta para redefinir.

Para vários hosts, ou quando uploads de navegador são proibidos, sanitize localmente com o CLI de código aberto (Node.js 20+) e reutilize uma chave para que os tokens correspondam em todos os arquivos:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”