Analisi dei Log con LogTotal

Che cos’è la Log Analytics?

La log analytics è la pratica di raccogliere, analizzare, normalizzare e interrogare i record di eventi generati automaticamente per rispondere a una domanda operativa o di sicurezza. In un SOC, quella domanda è solitamente specifica: questo account si è autenticato da una fonte inaspettata, questo host ha avviato un processo figlio insolito, quali chiamate API hanno preceduto il trasferimento dei dati.

La materia prima è eterogenea: canali di Sicurezza Windows e Sysmon in file .evtx, output di auth.log e journald Linux, eventi di firewall e proxy in CEF e audit trail cloud come AWS CloudTrail o Microsoft Entra ID accesso registrato come JSON.

Una pipeline di log analytics funzionante ha quattro fasi:

1. Raccolta. Esportare eventi dalla sorgente senza perdere campi o timestamp.
2. Normalizzazione. Mappa src_ip, IpAddress e sourceIPAddress su uno schema comune.
3. Rilevamento. Esegui regole Sigma o di fornitori e contrassegna ogni risultato con le tecniche MITRE ATT&CK.
4. Correlazione. Raggruppa risultati correlati in una linea temporale o catena di attacco che un analista può convalidare.

Inizia gratis

Perché la Log Analytics è importante per il rilevamento e la risposta

I log sono spesso l’unico registro che sopravvive a un’intrusione. La telemetria EDR si sovrascrive, la memoria si perde al riavvio e la cattura dei pacchetti è raramente attiva quando ne hai bisogno. Gli Event ID di Windows 4624, 4672 e 4688, o le chiamate CloudTrail come ConsoleLogin e CreateAccessKey, sono tipicamente la prova principale per delimitare un incidente.

Tre pressioni rendono la log analytics una competenza fondamentale per il SOC piuttosto che una funzionalità del SIEM:

• Volume. Un singolo incidente può produrre milioni di eventi, e grep trova solo ciò che già sai di cercare.
• Lacune di copertura. Laptop di collaboratori esterni, segmenti OT e tenant SaaS che nessuno ha connesso non sono nel SIEM, ma i loro log necessitano comunque di analisi.
• Gestione dei dati. I log contengono nomi utente, nomi host, IP, cookie di sessione e token di autenticazione. Secondo il GDPR, gran parte di questi sono dati personali, e un token violato è un percorso di accesso attivo.

Ogni log allegato a un ticket del fornitore o incollato in una chat con AI allarga il cerchio delle persone e giurisdizioni che possono leggere i valori originali. Una buona log analytics risponde alla domanda rapidamente senza creare un secondo incidente.

Breve storia della Log Analytics

Syslog, scritto da Eric Allman per Sendmail all’inizio degli anni ’80, è stato successivamente standardizzato in RFC 3164 (2001) e RFC 5424 (2009). Per due decenni, l’analisi dei log significava grep e awk su un server syslog centrale.

Windows si è strutturato. Windows Vista ha sostituito il formato .evt legacy con il formato .evtx basato su XML e il modello a canali ancora usato oggi, e Sysmon (2014) ha aggiunto telemetria di processo e rete ad alta fedeltà.

La metà degli anni 2000 ha portato il SIEM. ArcSight, QRadar e successivamente Splunk hanno reso la ricerca e la correlazione centralizzate una categoria di prodotto, e CEF di ArcSight è ancora emesso dalla maggior parte degli apparecchi di rete. Gli anni 2010 hanno aggiunto stack aperti come ELK e percorsi di audit cloud come CloudTrail (2013).

Nel 2017, Sigma ha dato ai difensori un formato di regole indipendente dal fornitore. Lo stesso anno, SOC Prime ha iniziato a contrassegnare le regole Sigma con le tecniche MITRE ATT&CK e ha applicato l’approccio all’indagine pubblica su NotPetya. La mappatura ATT&CK è da allora diventata un’aspettativa di default per i contenuti di rilevamento.

Dove sta andando la Log Analytics

Il rilevamento si sposta a monte. I team eseguono regole Sigma su eventi in streaming nella pipeline prima che i dati raggiungano il SIEM, riducendo i costi di archiviazione e accorciando il tempo medio per il rilevamento da ore a minuti.

La correlazione batte gli avvisi singoli. Le corrispondenze isolate a bassa fedeltà sono rumore. Una logica di ordine superiore che collega tecniche attraverso host e finestre temporali in catene di attacco offre agli analisti qualcosa da confermare o chiudere.

La triage AI incontra i limiti della gestione dei dati. Gli LLM spiegano bene gli alberi di processo e riassumono le linee temporali, ma l’invio di telemetria grezza a un fornitore di modelli solleva questioni di privacy e contrattuali, e i modelli di frontiera possono rifiutare il contenuto di sicurezza in toto. Durante la risposta all’incidente di HuggingFace del luglio 2026, un tentativo di inviare circa 17.000 eventi ai modelli di frontiera è stato bloccato dalle barriere di sicurezza.

La pseudonimizzazione diventa una fase della pipeline. Il mascheramento statico distrugge la correlazione e gli hash semplici possono essere invertiti con indovinamenti di dizionario. I token HMAC chiaviati mantengono intatte le relazioni rimuovendo i valori. Aspettati questo passaggio prima di ogni destinazione esterna: servizi IA, supporto del fornitore, MSSP e data lake condivisi.

Vantaggi della Log Analytics

• Delimitazione più veloce per i soccorritori di incidenti. Una linea temporale correlata risponde “quali host, quali account, da quando” in pochi minuti, il che guida il contenimento e riduce il tempo di permanenza.
• Rilevamenti validati per gli ingegneri. Riprodurre i log contro la logica delle regole mostra quali regole Sigma si attivano, quali sono rumore e quali tecniche ATT&CK non hanno copertura.
• Prova di conformità. La norma PCI DSS Requisito 10, il controllo ISO/IEC 27001 A.8.15 e il NIS2 si aspettano che gli eventi di sicurezza siano registrati e rivisti.
• Causa principale per gli amministratori. L’output di journalctl che spiega un servizio fallito spesso rivela una misconfigurazione che un attaccante potrebbe sfruttare.
• Costo più basso del SIEM. Puoi analizzare una sorgente a breve termine una volta senza integrarla.
• Collaborazione più sicura. I log pseudonimizzati permettono a un ritentore, MSSP, o TAC del fornitore di raggruppare host e utenti senza vedere identità reali.

Casi d’uso per la Log Analytics

Triage di host non gestiti. Un laptop di un collaboratore senza EDR è sospettato di compromissione. Esporta i log di Sicurezza, Sysmon e PowerShell e verifica i risultati di LogTotal per accesso alle credenziali (T1003), esecuzione PowerShell (T1059.001) e attività pianificate (T1053.005) prima di effettuare il reimaging.

Acquisizione di account cloud. Dopo un ConsoleLogin sconosciuto, recupera 72 ore di accessi a CloudTrail e Entra ID e cerca nuove chiavi accesso, cambiamenti MFA e modifiche alle politiche IAM.

Retainer IR esterni e TAC del fornitore. Sanifica la prova con una chiave che conservi. La terza parte ancora raggruppa host e utenti per token, e puoi mappare i token internamente.

Ingegneria del rilevamento. Riproduci i log di Atomic Red Team o Caldera per confermare quali regole si attivano, poi sanifica le fixture prima che raggiungano Git o i manufatti CI.

Revisioni sulla privacy. La pseudonimizzazione chiaviata è una misura tecnica documentabile sotto l’Articolo 32 del GDPR: ciò che è stato sostituito, come i token sono stati generati, chi possiede la chiave.

Come eseguire l’analisi dei log: localizzare ed esportare i log per piattaforma

Ogni procedura di seguito termina in un formato che LogTotal legge nativamente: EVTX, CEF, JSON/NDJSON o syslog. Fissa prima la finestra temporale UTC e l’ambito, e hasha ogni esportazione (Get-FileHash o sha256sum) per la catena di custodia.

Windows (EVTX). Richiede una shell elevata come amministratore locale. I file .evtx attivi sotto %SystemRoot%System32winevtLogs sono bloccati dal servizio Event Log, quindi esportali con wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

Aggiungi /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” per limitare l’esportazione a 24 ore. Percorso GUI: eventvwr.msc → Log di Windows → Sicurezza → Salva tutti gli eventi come…

Linux (syslog o NDJSON). Richiede un accesso come root o l’iscrizione ad adm / systemd-journal. Copia /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL). Per journald:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Richiede cloudtrail:LookupEvents. CloudTrail → Storico eventi → Scarica eventi → Scarica JSON copre 90 giorni di eventi di gestione. Da un bucket di trail (s3:GetObject, kms:Decrypt), appiattisci i record in NDJSON:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID e Microsoft 365 (JSON). Centro amministrazione di Entra → Identità → Monitoraggio e salute → Log di accesso → Scarica → JSON (ruolo di Lettore Report). Per i dati di audit di Purview, salta l’esportazione CSV e preleva direttamente il JSON (ruolo di Log Audit):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Dispositivi di rete (CEF). Passa il dispositivo a CEF (su FortiGate: config log syslogd setting → set format cef) ed esporta righe contenenti CEF:0| dal collettore syslog.

Offerte di SOC Prime per la Log Analytics

• Threat Detection Marketplace: oltre 1.000.000 di regole di rilevamento native Sigma, tradotte in lingue SIEM, EDR e data lake e contrassegnate con ATT&CK.
• Prime Hunt: esamina dati storici di SIEM, EDR e data lake con regole rilevanti e deduce le Catene di Attacco dai risultati.
• Prime Detect: esegue regole Sigma su eventi in streaming prima del SIEM e li correla in Catene di Attacco in tempo reale.
• Uncoder.IO: traduce regole Sigma e Roota in query native.
• LogTotal: analisi gratuita, senza registrazione, di file di log esportati con sanitizzazione nel browser.
• logtotal-sanitizer: il motore Apache 2.0 dietro LogTotal, come libreria Node.js e CLI per uso on-premise o senza connessione.

LogTotal copre il caso di cui tratta questa guida: un file da una sorgente esterna al tuo SIEM, o uno che non puoi condividere grezzo. Ogni analisi viene eseguita su un’istanza monouso e dedicata del motore DetectFlow di SOC Prime e viene cancellata successivamente.

Come funziona la Log Analytics con LogTotal

LogTotal è gratuito, non necessita di account e sanitizza i file nel tuo browser prima che vengano caricati. SOC Prime non conserva i log dopo l’analisi né si allena su di essi.

1. Apri logtotal.com in una versione attuale di Chromium, Firefox o Safari.
2. Carica l’esportazione. Trascina il file .evtx, .log, .json o .ndjson. Il formato viene rilevato automaticamente.
3. Rivedi la sanitizzazione. Segreti, cookie, ID di pagamento, IP, nomi host, nomi utente e percorsi di directory domestiche diventano token HMAC-SHA-256 chiaviati come <USER:…> o <IP:…>. I valori identici ricevono token identici, quindi dieci account spruzzati sembrano ancora dieci utenti.
4. Scarica la copia sanitizzata per il tuo fascicolo del caso. È esattamente quello che è stato analizzato.
5. Esegui l’analisi. Gli eventi vengono controllati rispetto a circa 1.000.000 di regole di rilevamento e 13.000 etichette, quindi correlati con regole Sigma di ordine superiore e IA agentiva. SOC Prime cita fino a 1,7 milioni di eventi in meno di un minuto.
6. Leggi i risultati. I rilevamenti sono mappati su ATT&CK, raggruppati in catene di attacco e spiegati dall’AI. Un token che appare sia nei risultati di accesso alle credenziali che di movimento laterale è il tuo account da resettare.

Per diversi host, o quando i caricamenti tramite browser sono proibiti, sanitizza localmente con il CLI open-source (Node.js 20+) e riutilizza una chiave in modo che i token corrispondano tra i file:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”