Seguir O LogTotal da SOC Prime agora suporta exportações de logs de quatro principais plataformas SIEM e EDR: Google SecOps, CrowdStrike Falcon LogScale / SIEM de próxima geração, Microsoft Defender para Endpoint (MDE) e Microsoft Sentinel. Cada plataforma usa seus próprios formatos de arquivo, nomes de campo e modelo de dados. O LogTotal lida com essas diferenças automaticamente, para que as equipes de segurança possam fazer upload das exportações como estão e obter a mesma profundidade de análise de todas as fontes. O suporte para Splunk, IBM QRadar e OpenSearch/Elasticsearch está chegando em breve.
O que há de novo: quatro plataformas, um analisador
As plataformas recém-suportadas trazem cada uma um modelo de dados diferente e opções de exportação diferentes:
| Plataforma | Modelo de dados | Exportações documentadas pelo fornecedor |
| Google SecOps | Modelo de Dados Unificado (UDM), produzido por parsers que normalizam logs brutos | Eventos de detecção como CSV, até 100.000 eventos |
| CrowdStrike Falcon LogScale / SIEM de próxima geração | Nomes de campos nativos do sensor Falcon; dados de terceiros analisados para o Padrão de Análise CrowdStrike (CPS), baseado no ECS | CSV, JSON e texto simples |
| Microsoft Defender para Endpoint | Esquema de caça avançada, com tabelas como DeviceProcessEvents | Resultados de caça avançada como uma planilha do Excel; CSV do modo guiado |
| Microsoft Sentinel | Tabelas de Log Analytics consultadas com KQL; normalização ASIM opcional | Resultados da consulta como CSV da janela Logs |
Não são necessários scripts de conversão, renomeações de campos ou parsers personalizados para nenhum deles.
Mesmo evento, quatro descrições diferentes
Cada plataforma registra a mesma atividade à sua maneira. Um único lançamento de processo carrega nomes de campos diferentes, dependendo de onde foi exportado:
| O que uma detecção procura | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender para Endpoint | Microsoft Sentinel (ASIM) |
| Linha de comando do novo processo | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Nova imagem de processo | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Processo pai ou iniciador | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
As diferenças vão além dos nomes:
- Nomes diferentes para o mesmo campo. Um conceito, como uma linha de comando, carrega um nome diferente em cada plataforma.
- Estrutura diferente. UDM aninha campos sob principal e target, enquanto MDE e Falcon usam nomes de colunas planas. Alguns valores são divididos entre campos, como FolderPath e FileName do MDE.
- Nomenclatura diferente dentro de uma plataforma. O SIEM de próxima geração mantém nomes nativos de Falcon para telemetria de sensores e usa nomes CPS baseados em ECS para dados de terceiros. Ambos podem aparecer em uma única exportação.
Geralmente, os analistas preenchem essas lacunas manualmente antes que uma única regra possa ser executada. Com o LogTotal, essas diferenças não são seu problema.
Como o LogTotal lida com formatos de arquivo
O LogTotal detecta o formato de arquivo para você. A SOC Prime documenta a detecção automática de EVTX, CEF, JSON e syslog, sem conversão manual. O LogTotal aceita arquivos enviados ou colados .log, .json, .jsonl, .evtx e .txt de até 3 GB ou 3.000.000 de eventos e processa até 1,7 milhão de eventos em menos de um minuto.
As plataformas cobertas aqui diferem principalmente em como empacotam registros:
- Um único array JSON. A exportação JSON do LogScale envolve todos os eventos em um único array. O LogTotal lê cada elemento como um evento separado.
- Exportações CSV. Google SecOps, MDE de caça avançada e Logs do Sentinel exportam resultados de consulta como arquivos CSV, com cada cabeçalho de coluna nomeado após um campo no esquema daquela plataforma.
Não é necessário achatar JSON aninhados, renomear colunas ou reordenar campos antes do upload. A sanitização é então executada localmente em seu navegador nos eventos analisados, para que os mesmos identificadores sejam tokenizados de forma consistente, independentemente do formato em que chegaram.
Como o LogTotal lida com nomes de campos e mapeamentos
O LogTotal mapeia os nomes de campo de cada plataforma para os campos que sua lógica de detecção espera, de forma que uma regra seja avaliada corretamente em todos os quatro esquemas. Os usuários não mantêm mapeamentos, escrevem parsers ou escolhem um esquema.
Isso constrói com base no trabalho de mapeamento que a SOC Prime já faz para seu conteúdo de detecção. A matriz de suporte da plataforma da SOC Prime lista regras para Google SecOps escritas contra o esquema de dados UDM e consultas Kusto para MDE e Sentinel escritas contra seus esquemas padrão. O LogTotal aplica o mesmo conhecimento a arquivos exportados.
Após o mapeamento, eventos de todas as quatro plataformas passam pelo mesmo pipeline: cerca de 1.000.000 de regras de detecção e 13.000 rótulos de ameaça, correlacionados com regras Sigma de Ordem Superior e IA agente em cadeias de ataque mapeadas para o MITRE ATT&CK.
O que isso significa para as equipes de segurança
Diferenças de formato e esquema são problemas do LogTotal, não seus. Na prática:
- Exporte da forma que você já faz. Use a exportação padrão da sua plataforma e faça o upload do arquivo como está.
- Misture fontes em uma única investigação. Logs de diferentes plataformas são analisados com as mesmas regras e correlação, então os resultados são comparáveis.
- Mantenha seus identificadores privados. A sanitização substitui nomes de host, IPs, nomes de usuário e segredos por tokens HMAC estáveis antes do upload. Você mantém a chave e pode mapear os tokens de volta internamente.
- Obtenha a mesma profundidade em todas as plataformas. A cobertura de regras não depende de qual SIEM ou EDR produziu o arquivo.
Para melhores resultados, exporte os campos que possuem valor de detecção, como processo, linha de comando, processo pai, usuário, host e detalhes de rede, em vez de uma visão de resumo reduzida. Onde uma plataforma oferece ambos, prefira a exportação completa do evento em vez de um subconjunto de colunas.
Planejado para o Futuro Próximo
Suporte para exportações de Splunk, IBM QRadar, e OpenSearch/Elasticsearch está planejado. Essas plataformas trazem suas próprias convenções, como nomes de campo ECS do Elastic. A experiência permanecerá a mesma: exportar, fazer upload e deixar o LogTotal lidar com os formatos e mapeamentos de campo.
