Log-Analyse mit LogTotal

Was ist Log-Analyse?

Log-Analyse ist die Praxis des Sammelns, Parsens, Normalisierens und Abfragens von maschinell erzeugten Ereignisaufzeichnungen, um eine betriebliche oder sicherheitsrelevante Frage zu beantworten. In einem SOC ist diese Frage normalerweise eng gefasst: Hat dieses Konto sich von einer unerwarteten Quelle authentifiziert, hat dieser Host einen ungewöhnliches Kindprozess gestartet, welche API-Aufrufe sind dem Datentransfer vorausgegangen?

Das Rohmaterial ist heterogen: Windows Security und Sysmon-Kanäle in .evtx-Dateien, Linux auth.log und journald-Ausgaben, Firewall- und Proxy-Ereignisse in CEF und Cloud-Audit-Traces wie AWS CloudTrail oder Microsoft Entra ID-Anmeldelogin, die als JSON exportiert werden.

Eine funktionierende Log-Analyse-Pipeline hat vier Stufen:

1. Sammlung. Exportieren Sie Ereignisse von der Quelle, ohne Felder oder Zeitstempel zu verlieren.
2. Normalisierung. Map src_ip, IpAddress und sourceIPAddress auf ein gemeinsames Schema.
3. Erkennung. Führen Sie Sigma- oder Anbieterrichtlinien aus und kennzeichnen Sie jeden Treffer mit MITRE ATT&CK-Techniken.
4. Korrelation. Gruppieren Sie verwandte Treffer in eine Zeitleiste oder Angriffskette, die ein Analyst validieren kann.

Kostenlos starten

Warum Log-Analyse für Detektion und Reaktion wichtig ist

Logs sind oft das einzige Aufzeichnung, das nach einem Einbruch überlebt. EDR-Telemetrie wird überschrieben, der Speicher geht beim Neustart verloren und die Paketerfassung läuft selten, wenn Sie sie benötigen. Windows-Ereignis-IDs 4624, 4672 und 4688 oder CloudTrail-Aufrufe wie ConsoleLogin und CreateAccessKey sind typischerweise die primären Beweise zur Eingrenzung eines Vorfalls.

Drei Zwänge machen die Log-Analyse zu einer Kernkompetenz im SOC statt einer SIEM-Funktion:

• Volumen. Ein einzelner Vorfall kann Millionen von Ereignissen erzeugen, und grep findet nur, wonach Sie bereits wissen, dass Sie suchen müssen.
• Deckungslücken. Auf Contractor-Laptops, OT-Segmenten und SaaS-Mandanten, die niemand angeschlossen hat, ist das SIEM nicht vorhanden, aber ihre Logs müssen dennoch analysiert werden.
• Datenverarbeitung. Logs enthalten Benutzernamen, Hostnamen, IPs, Sitzungs-Cookies und Zugriffstokens. Unter der DSGVO sind viele dieser Daten persönliche Daten, und ein durchgesickertes Token ist ein aktiver Zugangspfad.

Jedes Log, das einem Anbieterticket beigefügt oder in einen AI-Chat eingefügt wird, erweitert den Personenkreis und die Gerichtsbarkeiten, die die Originalwerte lesen können. Gute Log-Analyse beantwortet die Frage schnell, ohne einen zweiten Vorfall zu erzeugen.

Eine kurze Geschichte der Log-Analyse

Syslog, geschrieben von Eric Allman für Sendmail in den frühen 1980er Jahren, wurde später in RFC 3164 (2001) und RFC 5424 (2009) standardisiert. Zwei Jahrzehnte lang bedeutete Log-Analyse grep und awk auf einem zentralen Syslog-Server.

Windows wurde strukturiert. Windows Vista ersetzte das alte .evt-Format durch das XML-basierte .evtx-Format und das heute noch verwendete Kanalmodell, und Sysmon (2014) fügte hochfrequente Prozess- und Netzwerktelemetrie hinzu.

Die Mitte der 2000er brachte SIEM. ArcSight, QRadar und später Splunk machten die zentralisierte Suche und Korrelation zu einer Produktkategorie, und ArcSight’s CEF wird immer noch von den meisten Netzwerkgeräten ausgestrahlt. Die 2010er Jahre brachten offene Stacks wie ELK und Cloud-Audit-Trails wie CloudTrail (2013).

Im Jahr 2017 gab Sigma den Verteidigern ein anbieterneutrales Regelformat. Im selben Jahr begann SOC Prime mit dem Tagging von Sigma-Regeln mit MITRE ATT&CK-Techniken und wandte den Ansatz auf die öffentliche NotPetya-Untersuchung an. ATT&CK-Mapping ist seitdem eine Standarderwartung für Erkennungsinhalte geworden.

Wohin sich die Log-Analyse entwickelt

Erkennung verlagert sich. Teams führen Sigma-Regeln auf Streaming-Ereignissen in der Pipeline aus, bevor die Daten das SIEM erreichen, senken so die Speicherkosten und verkürzen die mittlere Erkennungszeit von Stunden auf Minuten.

Korrelation übertrifft einzelne Alarme. Isolierte Treffer mit niedriger Genauigkeit sind Lärm. Höhere logische Ordnungen, die Techniken über Hosts und Zeitfenster hinweg zu Angriffsketten verbinden, geben Analysten etwas zu bestätigen oder zu schließen.

KI-Triage trifft auf Datenverarbeitungsgrenzen. LLMs erklären Prozesstrees und fassen Zeitleisten gut zusammen, aber das Senden von Roh-Telemetriedaten an einen Modellanbieter wirft Datenschutz- und Vertragsfragen auf, und Frontier-Modelle lehnen möglicherweise Sicherheitsinhalte ab. Während der HuggingFace-Vorfallreaktion im Juli 2026 wurde der Versuch, etwa 17.000 Ereignisse an Frontier-Modelle zu senden, durch Sicherheitsvorrichtungen blockiert.

Pseudonymisierung wird eine Pipeline-Stufe. Statisches Maskieren zerstört Korrelation, und einfache Hashes können durch Wörterbuchvermutungen umgekehrt werden. Keyed HMAC-Tokens halten Beziehungen intakt, während sie die Werte entfernen. Erwarten Sie diesen Schritt vor jeder externen Zielgruppe: AI-Dienste, Anbieter-Support, MSSPs und geteilte Datenseen.

Vorteile der Log-Analyse

• Schnellere Eingrenzung für Vorfallreaktionsteams. Eine korrelierte Zeitleiste beantwortet die Frage „welche Hosts, welche Konten, seit wann“ in Minuten, was die Eindämmung vorantreibt und die Verweilzeit verkürzt.
• Validierte Erkennungen für Ingenieure. Das Abspielen von Logs gegen Regel-Logik zeigt, welche Sigma-Regeln feuern, welche laut sind und welche ATT&CK-Techniken keine Abdeckung haben.
• Compliance-Nachweis. PCI DSS Anforderung 10, ISO/IEC 27001 Kontrolle A.8.15, und NIS2 erwarten alle, dass Sicherheitsereignisse protokolliert und überprüft werden.
• Ursachenanalyse für Administratoren. Die journalctl-Ausgabe, die einen ausgefallenen Dienst erklärt, verrät oft eine Fehlkonfiguration, die ein Angreifer ausnutzen könnte.
• Niedrigere SIEM-Kosten. Eine kurzlebige Quelle kann einmal analysiert werden, ohne dass sie integriert werden muss.
• Sicherere Zusammenarbeit. Pseudonymisierte Logs ermöglichen es einem Retainer, MSSP oder Anbieter-TAC, Hosts und Benutzer zu gruppieren, ohne echte Identitäten zu sehen.

Anwendungsfälle für Log-Analyse

Bewertung von nicht verwalteten Hosts. Ein Contractor-Laptop ohne EDR wird eines Kompromisses verdächtigt. Exportieren Sie Security-, Sysmon- und PowerShell-Logs und überprüfen Sie LogTotal-Befunde für Zugriffsberechtigung (T1003), PowerShell-Ausführung (T1059.001) und geplante Aufgaben (T1053.005), bevor Sie das System neu abbildern.

Übernahme von Cloud-Konten. Nach einem unbekannten ConsoleLogin ziehen Sie 72 Stunden CloudTrail- und Entra ID-Anmeldungen und suchen nach neuen Zugriffsschlüsseln, MFA-Änderungen und IAM-Richtlinien-Edits.

Externe IR-Retainer und Anbieter-TAC. Desinfizieren Sie die Beweise mit einem Schlüssel, den Sie behalten. Die dritte Partei gruppiert immer noch Hosts und Benutzer nach Token, und Sie ordnen die Token intern zu.

Erkennungstechnik. Spielen Sie Atomic Red Team- oder Caldera-Logs ab, um zu bestätigen, welche Regeln feuern, und desinfizieren Sie dann die Fixtures, bevor sie Git oder CI-Artefakte erreichen.

Datenschutzprüfungen. Keyed Pseudonymisierung ist eine dokumentierbare technische Maßnahme gemäß DSGVO Artikel 32: Was wurde ersetzt, wie wurden Token generiert, wer hält den Schlüssel.

Wie man Log-Analyse durchführt: Logs nach Plattform aufspüren und exportieren

Jeder der folgenden Verfahren endet in einem Format, das LogTotal nativ liest: EVTX, CEF, JSON/NDJSON oder Syslog. Stellen Sie zuerst das UTC-Zeitfenster und den Umfang fest und hashieren Sie jeden Export (Get-FileHash oder sha256sum) für die Beweiskette.

Windows (EVTX). Erfordert eine erhöhte Shell als lokaler Administrator. Live .evtx-Dateien unter %SystemRoot%System32winevtLogs sind durch den Event-Log-Dienst gesperrt, daher exportieren Sie sie mit wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl „Microsoft-Windows-Sysmon/Operational“ C:IRSysmon.evtx

Fügen Sie /q:“*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]“ hinzu, um den Export auf 24 Stunden zu begrenzen. GUI-Pfad: eventvwr.msc → Windows-Protokolle → Sicherheit → Alle Ereignisse speichern als…

Linux (syslog oder NDJSON). Erfordert Root-Rechte oder Mitgliedschaft in adm / systemd-journal. Kopieren Sie /var/log/auth.log (Debian/Ubuntu) oder /var/log/secure (RHEL). Für journald:

sudo journalctl –since „2026-10-20“ –until „2026-10-21“ –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Erfordert cloudtrail:LookupEvents. CloudTrail → Ereignisverlauf → Ereignisse herunterladen → JSON herunterladen umfasst 90 Tage VerwaltungserEreignisse. Vom Tracel-Bucket (s3:GetObject, kms:Decrypt) glätten Sie die Aufzeichnungen in NDJSON:

zcat ./ct/*.json.gz | jq -c ‚.Records[]‘ > cloudtrail.ndjson

Microsoft Entra ID und Microsoft 365 (JSON). Entra-Administrationszentrum → Identität → Überwachung & Gesundheit → Anmeldung Logs → Herunterladen → JSON (Reports Reader-Rolle). Für Purview-Audit-Daten überspringen Sie den CSV-Export und ziehen Sie den JSON direkt (Audit Logs-Rolle):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Netzwerkgeräte (CEF). Schalten Sie das Gerät auf CEF um (auf FortiGate: config log syslogd setting → set format cef) und exportieren Sie Zeilen, die CEF:0| aus dem Syslog-Sammler enthalten.

SOC Prime-Angebote für Log-Analyse

• Threat Detection Marketplace: Über 1.000.000 Sigma-native Erkennungsregeln, übersetzt in SIEM-, EDR- und Data-Lake-Sprachen und mit ATT&CK markiert.
• Prime Hunt: durchsucht historische SIEM-, EDR- und Data-Lake-Daten mit relevanten Regeln und schließt Angriffsketten aus den Ergebnissen ab.
• Prime Detect: führt Sigma-Regeln auf Streaming-Ereignissen vor dem SIEM aus und korreliert sie in Echtzeit zu Angriffsketten.
• Uncoder.IO: übersetzt Sigma- und Roota-Regeln in native Abfragen.
• LogTotal: kostenlose, anmeldungsfreie Analyse exportierter Log-Dateien mit In-Browser-Sanierung.
• logtotal-sanitizer: die Apache 2.0 Engine hinter LogTotal, als Node.js-Bibliothek und CLI für den On-Premise- oder Air-Gapped-Einsatz.

LogTotal deckt den Fall ab, um den es in diesem Leitfaden geht: eine Datei aus einer Quelle außerhalb Ihres SIEM oder eine, die Sie nicht roh teilen können. Jede Analyse läuft auf einer einmaligen, dedizierten Instanz der DetectFlow-Engine von SOC Prime und wird anschließend gelöscht.

Wie Log-Analyse mit LogTotal funktioniert

LogTotal ist kostenlos, benötigt kein Konto und desinfiziert Dateien in Ihrem Browser, bevor überhaupt etwas hochgeladen wird. SOC Prime behält keine Logs nach der Analyse bei noch trainiert es darauf.

1. Öffnen logtotal.com in einem aktuellen Chromium-, Firefox- oder Safari-Build.
2. Laden Sie den Export. Legen Sie die .evtx-, .log-, .json- oder .ndjson-Datei ab. Das Format wird automatisch erkannt.
3. Überprüfen Sie die Sanierung. Geheimnisse, Cookies, Zahlungs-IDs, IPs, Hostnamen, Benutzernamen und Homeverzeichnis-Pfade werden zu Keyed HMAC-SHA-256-Token wie <USER:…> oder <IP:…>. Identische Werte erhalten identische Token, sodass zehn gesprühte Konten immer noch wie zehn Benutzer aussehen.
4. Laden Sie die desinfizierte Kopie herunter für Ihre Akten. Es ist genau das, was analysiert wurde.
5. Führen Sie die Analyse aus. Ereignisse werden gegen etwa 1.000.000 Erkennungsregeln und 13.000 Labels geprüft, dann mit höheren Sigma-Regeln und agentischer KI korreliert. SOC Prime nennt bis zu 1,7 Millionen Ereignisse in weniger als einer Minute.
6. Lesen Sie die Ergebnisse. Erkennungen werden auf ATT&CK abgebildet, in Angriffsketten gruppiert und von KI erklärt. Ein Token, das sowohl in Befunden zum Zugriffsberechtigungen als auch zur lateralen Bewegung auftaucht, ist Ihr Konto, das zurückgesetzt werden muss.

Für mehrere Hosts, oder wenn Browser-Uploads nicht in Frage kommen, desinfizieren Sie lokal mit dem Open-Source-CLI (Node.js 20+) und verwenden Sie einen Schlüssel erneut, sodass Tokens in allen Dateien übereinstimmen:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key „$KEY“