Seguir LogTotal de SOC Prime ahora admite exportaciones de registros de cuatro grandes plataformas SIEM y EDR: Google SecOps, CrowdStrike Falcon LogScale / Next-Gen SIEM, Microsoft Defender for Endpoint (MDE) y Microsoft Sentinel. Cada plataforma utiliza sus propios formatos de archivo, nombres de campos y modelo de datos. LogTotal maneja esas diferencias automáticamente, por lo que los equipos de seguridad pueden cargar las exportaciones tal como están y obtener la misma profundidad de análisis de cada fuente. El soporte para Splunk, IBM QRadar y OpenSearch/Elasticsearch está por llegar.
Novedades: cuatro plataformas, un analizador
Las plataformas recientemente admitidas traen cada una un modelo de datos diferente y diferentes opciones de exportación:
| Plataforma | Modelo de datos | Exportaciones documentadas por el proveedor |
| Google SecOps | Modelo de Datos Unificado (UDM), producido por analizadores que normalizan registros en bruto | Eventos de detección como CSV, hasta 100,000 eventos |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | Nombres de campo del sensor nativo de Falcon; datos de terceros analizados al Estándar de Análisis de CrowdStrike (CPS), basado en ECS | CSV, JSON y texto simple |
| Microsoft Defender for Endpoint | Esquema de búsqueda avanzada, con tablas como DeviceProcessEvents | Resultados de búsqueda avanzada como un libro de Excel; CSV del modo guiado |
| Microsoft Sentinel | Tablas de Análisis de Registros consultadas con KQL; normalización ASIM opcional | Resultados de consultas como CSV desde la ventana de Logs |
No se necesitan scripts de conversión, renombrar campos ni analizadores personalizados para ninguno de ellos.
Mismo evento, cuatro descripciones diferentes
Cada plataforma registra la misma actividad a su manera. Un único lanzamiento de proceso lleva diferentes nombres de campo dependiendo de dónde se haya exportado:
| Qué busca una detección | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Línea de comando del nuevo proceso | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Nueva imagen de proceso | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Proceso padre o iniciador | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Las diferencias van más allá de los nombres:
- Nombres diferentes para el mismo campo. Un concepto, como una línea de comando, tiene un nombre diferente en cada plataforma.
- Estructura diferente. UDM anida campos bajo principal y target, mientras que MDE y Falcon usan nombres de columnas planas. Algunos valores se dividen en campos, como FolderPath y FileName de MDE.
- Nombres diferentes dentro de una misma plataforma. Next-Gen SIEM mantiene nombres nativos Falcon para la telemetría del sensor y utiliza nombres CPS basados en ECS para datos de terceros. Ambos pueden aparecer en una sola exportación.
Por lo general, los analistas llenan estos vacíos manualmente antes de que se pueda ejecutar una sola regla. Con LogTotal, estas diferencias no son su problema.
Cómo LogTotal maneja los formatos de archivo
LogTotal detecta el formato de archivo por usted. SOC Prime documenta la detección automática de EVTX, CEF, JSON y syslog, sin conversión manual. LogTotal acepta archivos .log, .json, .jsonl, .evtx y .txt cargados o pegados de hasta 3 GB o 3,000,000 eventos y procesa hasta 1.7 millones de eventos en menos de un minuto.
Las plataformas cubiertas aquí difieren más en cómo empaquetan los registros:
- Una sola matriz JSON. La exportación JSON de LogScale envuelve todos los eventos en una sola matriz. LogTotal lee cada elemento como un evento separado.
- Exportaciones CSV. Google SecOps, MDE advanced hunting y Sentinel Logs exportan resultados de consultas como archivos CSV, con cada encabezado de columna nombrado según un campo en el esquema de esa plataforma.
No necesita aplanar JSON anidados, renombrar columnas, ni reordenar campos antes de cargar. La sanitización luego se ejecuta localmente en su navegador en los eventos analizados, por lo que los mismos identificadores se tokenizan de manera consistente sin importar en qué formato llegaron.
Cómo LogTotal maneja los nombres de campo y los mapeos
LogTotal asigna los nombres de campo de cada plataforma a los campos que espera su lógica de detección, por lo que una regla se evalúa correctamente en todos los esquemas. Los usuarios no mantienen mapeos, no escriben analizadores ni eligen un esquema.
Esto se basa en el trabajo de asignación que SOC Prime ya realiza para su contenido de detección. La matriz de soporte de plataforma de SOC Prime enumera reglas para Google SecOps escritas contra el esquema de datos UDM, y consultas Kusto para MDE y Sentinel escritas contra sus esquemas predeterminados. LogTotal aplica el mismo conocimiento a los archivos exportados.
Después de la asignación, los eventos de las cuatro plataformas pasan por el mismo proceso: alrededor de 1,000,000 reglas de detección y 13,000 etiquetas de amenazas, correlacionadas con reglas Sigma de Orden Superior y AI agentico en cadenas de ataque mapeadas al MITRE ATT&CK.
Qué significa esto para los equipos de seguridad
Las diferencias de formato y esquema son el problema de LogTotal, no el suyo. En la práctica:
- Exporte de la manera que ya lo hace. Use la exportación estándar de su plataforma y cargue el archivo tal cual.
- Mezcle fuentes en una investigación. Los registros de diferentes plataformas se analizan con las mismas reglas y correlación, por lo que los hallazgos son comparables.
- Mantenga privados sus identificadores. La sanitización reemplaza nombres de host, IPs, nombres de usuario y secretos con tokens HMAC estables antes de subirse. Usted conserva la clave y puede mapear los tokens internamente.
- Obtenga la misma profundidad en cada plataforma. La cobertura de reglas no depende de qué SIEM o EDR produjo el archivo.
Para obtener mejores resultados, exporte los campos que tienen valor de detección, como proceso, línea de comando, proceso padre, usuario, host y detalles de red, en lugar de una vista de resumen reducida. Donde una plataforma ofrezca ambos, prefiera la exportación completa de eventos sobre un subconjunto de columnas.
Planes para el Futuro Cercano
Soporte para exportaciones de Splunk, IBM QRadar, y OpenSearch/Elasticsearch está planificado. Estas plataformas traen sus propias convenciones, como los nombres de campo ECS de Elastic. La experiencia seguirá siendo la misma: exportar, cargar y dejar que LogTotal maneje los formatos y mapeos de campo.
