Analiza Logów z LogTotal

Czym jest analiza logów?

Analiza logów to praktyka zbierania, parsowania, normalizowania i odpytywania komputerowo generowanych rekordów zdarzeń w celu uzyskania odpowiedzi na pytanie operacyjne lub dotyczące bezpieczeństwa. W SOC takie pytanie jest zazwyczaj wąskie: czy to konto uwierzytelniało się z nieoczekiwanego źródła, czy ten host uruchomił nietypowy proces potomny, jakie wywołania API poprzedziły transfer danych.

Surowy materiał jest heterogeniczny: kanały bezpieczeństwa Windows i Sysmon w plikach .evtx, output Linux auth.log i journald, zdarzenia firewall i proxy w formacie CEF oraz ścieżki audytu w chmurze, takie jak AWS CloudTrail czy logi logowania Microsoft Entra ID eksportowane jako JSON.

Działająca rura analizy logów ma cztery etapy:

1. Zbieranie. Eksportuj zdarzenia ze źródła bez utraty pól lub znaczników czasu.
2. Normalizacja. Mapuj src_ip, IpAddress i sourceIPAddress do wspólnego schematu.
3. Detekcja. Uruchom reguły Sigma lub dostawcy i oznac każdy trafienie technikami MITRE ATT&CK.
4. Korelacja. Grupuj powiązane trafienia w linię czasu lub łańcuch ataków, który analityk może zweryfikować.

Zacznij za darmo

Dlaczego analiza logów jest ważna dla wykrywania i reagowania

Logi są często jedynym zapisem, który przetrwał atak. Telemetria EDR się przetwarza, pamięć jest tracona po restarcie, a przechwytywanie pakietów rzadko działa, gdy jest potrzebne. Identyfikatory zdarzeń Windows 4624, 4672 i 4688 lub wywołania CloudTrail takie jak ConsoleLogin i CreateAccessKey są zazwyczaj podstawowym dowodem na zasięg incydentu.

Trzy czynniki sprawiają, że analiza logów staje się podstawową umiejętnością w SOC, a nie funkcją SIEM:

• Objętość. Jeden incydent może wygenerować miliony zdarzeń, a grep znajdzie tylko to, czego już się szuka.
• Luki w pokryciu. Laptopy kontrahentów, segmenty OT i dzierżawy SaaS, których nikt nie połączył, nie są w SIEM, ale ich logi wciąż wymagają analizy.
• Obsługa danych. Logi zawierają nazwy użytkowników, nazwy hostów, IP, ciasteczka sesyjne i tokeny nośnikowe. Zgodnie z RODO wiele z nich to dane osobowe, a wycieknięty token to aktywna ścieżka dostępu.

Każdy log dołączony do biletu dostawcy lub wklejony do AI chat powiększa krąg osób i jurysdykcji, które mogą odczytać oryginalne wartości. Dobra analiza logów szybko odpowiada na pytanie, nie tworząc drugiego incydentu.

Krótka historia analizy logów

Syslog, napisany przez Erica Allmana dla Sendmail na początku lat 80-tych, został później zestandaryzowany w RFC 3164 (2001) i RFC 5424 (2009). Przez dwie dekady analiza logów oznaczała grep i awk na centralnym serwerze syslog.

Windows stał się strukturalny. Windows Vista zastąpił przestarzały format .evt formatem .evtx opartym na XML i modelem kanału, który jest używany do dziś, a Sysmon (2014) dodał wysokość wierności procesów i telemetrykę sieciową.

Środek lat 2000-ych przyniósł SIEM. ArcSight, QRadar, a później Splunk stworzyły kategorie produktów wyszukiwania i korelacji centralnej, a CEF ArcSight jest nadal emitowany przez większość urządzeń sieciowych. Lata 2010 dodały otwarte stosy, takie jak ELK, oraz ścieżki audytu w chmurze, takie jak CloudTrail (2013).

W 2017 roku Sigma dała obrońcom neutralny dla dostawcy format reguł. W tym samym roku, SOC Prime zaczął oznaczać reguły Sigma technikami MITRE ATT&CK i zastosował tę metodę w publicznym badaniu NotPetya. Mapowanie ATT&CK stało się odtąd domyślnym oczekiwaniem dla treści wykrywania.

Dokąd zmierza analiza logów

Detekcja przesuwa się w przód. Zespoły uruchamiają reguły Sigma na strumieniowych zdarzeniach w rurociągu, zanim dane trafią do SIEM, co obniża koszty przechowywania i skraca średni czas wykrywania z godzin do minut.

Korelacja pokonuje pojedyncze alerty. Izolowane trafienia o niskiej jakości to hałas. Logika wyższego rzędu, która łączy techniki w różnych hostach i oknach czasowych w łańcuchy ataków, daje analitykom coś do potwierdzenia lub zamknięcia.

AI i ograniczenia związane z obsługą danych. LLM dobrze wyjaśniają drzewka procesów i podsumowują linie czasu, ale wysyłanie surowej telemetrii do dostawcy modelu rodzi pytania o prywatność i kwestie umowne, a modele graniczne mogą odrzucić treści bezpieczeństwa w ogóle. Podczas lipcowej reakcji na incydent HuggingFace w 2026 roku próba wysłania około 17 000 zdarzeń do modeli granicznych została zablokowana przez reguły ochronne.

Pseudonimizacja staje się etapem rurociągu. Statyczne maskowanie niszczy korelację, a zwykłe hasze mogą być odwrócone przez zgadywanie ze słownika. Tokeny HMAC z kluczem zachowują zależności przy jednoczesnym usuwaniu wartości. Oczekuj tego kroku przed każdym zewnętrznym miejscem docelowym: usługami AI, wsparciem dostawcy, MSSP i współdzielonymi jeziorami danych.

Korzyści z analizy logów

• Szybsza ocena dla responderów na incydenty. Skorelowana linia czasu odpowiada na pytanie „które hosty, które konta, od kiedy” w ciągu minut, co przyspiesza izolację i skraca czas przebywania.
• Potwierdzone wykrycia dla inżynierów. Odtwarzanie logów w ramach logiki reguł pokazuje, które reguły Sigma są uruchamiane, które są głośne i które techniki ATT&CK nie mają pokrycia.
• Dowody zgodności. Wymóg PCI DSS 10, kontrola ISO/IEC 27001 A.8.15 i NIS2 wszyscy oczekują logowania i przeglądania zdarzeń zabezpieczeń.
• Przyczyna źródłowa dla administratorów. Wynik z journalctl, który wyjaśnia, dlaczego usługa się nie udała, często ujawnia błędną konfigurację, którą atakujący może wykorzystać.
• Niższy koszt SIEM. Możesz przeanalizować krótkoterminowe źródło raz, bez jego wdrażania.
• Bezpieczniejsza współpraca. Pseudonimizowane logi pozwalały zatrudnianemu, MSSP lub dostawcy TAC klasteryzować hosty i użytkowników bez widzenia rzeczywistych tożsamości.

Użycie analizy logów

Triage hosta niezarządzanego. Podejrzewa się, że laptop kontrahenta bez EDR został skompromitowany. Eksportuj logi Security, Sysmon i PowerShell i sprawdź wyniki LogTotal pod kątem dostępu do poświadczeń (T1003), wykonania PowerShell (T1059.001) i zaplanowanych zadań (T1053.005) przed ponownym obrazowaniem.

Przejęcie konta chmurowego. Po nieznajomym ConsoleLogin wyciągnij 72 godziny CloudTrail i logowań Entra ID i poszukaj nowych kluczy dostępu, zmian MFA i edycji polityki IAM.

Zewnętrzni pośrednicy IR i dostawcy TAC. Zanonimizuj dowód kluczem, który zatrzymujesz dla siebie. Strona trzecia nadal klasteruje hosty i użytkowników według tokenów, a ty mapujesz tokeny wewnętrznie.

Inżynieria detekcji. Odtwórz logi Atomic Red Team lub Caldera, aby sprawdzić, które reguły się uruchamiają, a następnie zanonimizuj dane wyjściowe, zanim dotrą do Git lub artefaktów CI.

Przeglądy prywatności. Pseudonimizacja przy użyciu kluczy to dokumentowalny środek techniczny zgodnie z artykułem 32 RODO: co zostało zastąpione, jak generowano tokeny, kto posiada klucz.

Jak przeprowadzić analizę logów: lokalizowanie i eksportowanie logów według platformy

Każda procedura poniżej kończy się w formacie, który LogTotal czyta natywnie: EVTX, CEF, JSON/NDJSON lub syslog. Ustal najpierw okno czasowe UTC i zakres, a następnie haszuj każdy eksport (Get-FileHash lub sha256sum) dla łańcucha dowodowego.

Windows (EVTX). Wymaga podwyższonej powłoki jako lokalny Administrator. Aktywni pliki .evtx znajdujące się pod %SystemRoot%System32winevtLogs są zablokowane przez usługę logu zdarzeń, więc eksportuj je za pomocą wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl „Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

Dodaj /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” , aby ograniczyć eksport do 24 godzin. Ścieżka GUI: eventvwr.msc → Logi Windows → Zabezpieczenia → Zapisz wszystkie zdarzenia jako…

Linux (syslog lub NDJSON). Wymaga root lub członkostwa w adm / systemd-journal. Kopiuj /var/log/auth.log (Debian/Ubuntu) lub /var/log/secure (RHEL). Dla journald:

sudo journalctl –since „2026-10-20” –until „2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Wymaga uprawnień cloudtrail:LookupEvents. CloudTrail → Historia zdarzeń → Pobierz zdarzenia → Pobierz JSON obejmuje 90 dni zdarzeń zarządzania. Z wiadra ścieżki (s3:GetObject, kms:Decrypt), spłaszcz rekordy do NDJSON:

zcat ./ct/*.json.gz | jq -c ’.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID i Microsoft 365 (JSON). Centrum administracyjne Entra → Tożsamość → Monitorowanie i zdrowie → Logi logowania → Pobierz → JSON (rola Czytnik Raportów). Dla danych audytu Purview, pomiń eksport CSV i pobierz JSON bezpośrednio (rola Dzienniki Audytu):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Urządzenia sieciowe (CEF). Przełącz urządzenie na CEF (w FortiGate: config log syslogd setting → set format cef) i eksportuj linie zawierające CEF:0| z kolektora syslog.

Oferta SOC Prime dla analizy logów

• Threat Detection Marketplace: 1,000,000+ reguł detekcji Sigma w językach SIEM, EDR i jeziere danych, oznaczonych ATT&CK.
• Prime Hunt: skanuje historyczne dane SIEM, EDR i jezior danych za pomocą odpowiednich reguł i wniosków z łańcuchów ataków.
• Prime Detect: uruchamia reguły Sigma na zdarzeniach strumieniowych przed SIEM i koreluje je w łańcuchy ataków w czasie rzeczywistym.
• Uncoder.IO: tłumaczy reguły Sigma i Roota na zapytania natywne.
• LogTotal: darmowa, bez rejestracji analiza eksportowanych plików logów z sanitacją w przeglądarce.
• logtotal-sanitizer: silnik Apache 2.0 będący sercem LogTotal, jako biblioteka Node.js i CLI do użycia na miejscu lub w izolowanym trybie.

LogTotal obejmuje przypadek, którego dotyczy ten przewodnik: plik ze źródła spoza SIEM lub taki, którego nie można udostępnić w surowej postaci. Każda analiza odbywa się na jednorazowej, dedykowanej instancji silnika DetectFlow SOC Prime i jest usuwana później.

Jak działa analiza logów z LogTotal

LogTotal jest darmowy, nie wymaga konta i sanitizuje pliki w przeglądarce przed przesłaniem czegokolwiek. SOC Prime nie przechowuje logów po analizie ani nie trenuje na nich.

1. Otwórz logtotal.com w bieżącej wersji Chromium, Firefox lub Safari.
2. Załaduj eksport. Upuść plik .evtx, .log, .json lub .ndjson. Format jest wykrywany automatycznie.
3. Przejrzyj sanitację. Sekrety, ciasteczka, identyfikatory płatności, IP, nazwy hostów, nazwy użytkowników i ścieżki katalogu domowego stają się tokenami HMAC-SHA-256 z kluczem, takimi jak <USER:…> lub <IP:…>. Identyczne wartości otrzymują identyczne tokeny, więc dziesięć rozprzestrzenionych kont wygląda wciąż jak dziesięciu użytkowników.
4. Pobierz zanonimizowaną kopię dla swojego pliku z wiadrami dowodowymi. Jest dokładnie tym, co zostało poddane analizie.
5. Uruchom analizę. Zdarzenia są sprawdzane na podstawie około 1,000,000 reguł detekcji i 13,000 etykiet, a następnie korelowane z wyższego rzędu regułami Sigma i agentami AI. SOC Prime cytuje do 1,7 miliona zdarzeń w mniej niż minutę.
6. Czytaj wyniki. Wykrycia są odwzorowane na ATT&CK, pogrupowane w łańcuchy ataków i wyjaśnione przez AI. Token, który pojawia się zarówno w wynikach dostępu do poświadczeń, jak i ruchu lateralnego, to twoje konto do zresetowania.

Dla kilku hostów lub gdy przesyłanie plików do przeglądarki jest niedozwolone, sanitizuj lokalnie za pomocą oprogramowania CLI open-source (Node.js 20+) i używaj jednego klucza, aby tokeny pasowały do siebie w różnych plikach:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key „$KEY”