Segui LogTotal di SOC Prime ora supporta esportazioni di log da quattro principali piattaforme SIEM ed EDR: Google SecOps, CrowdStrike Falcon LogScale / Next-Gen SIEM, Microsoft Defender for Endpoint (MDE) e Microsoft Sentinel. Ogni piattaforma utilizza i propri formati di file, nomi di campi e modelli di dati. LogTotal gestisce automaticamente queste differenze, consentendo ai team di sicurezza di caricare le esportazioni così come sono e ottenere la stessa profondità di analisi da ogni fonte. Il supporto per Splunk, IBM QRadar e OpenSearch/Elasticsearch è in arrivo.
Novità: quattro piattaforme, un unico analizzatore
Le piattaforme recentemente supportate presentano ciascuna un diverso modello di dati e opzioni di esportazione:
| Piattaforma | Modello di dati | Esportazioni documentate dal venditore |
| Google SecOps | Modello di dati unificato (UDM), prodotto da parser che normalizzano i log grezzi | Eventi di rilevamento come CSV, fino a 100.000 eventi |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | Nomi dei campi nativi del sensore Falcon; dati di terze parti analizzati nel CrowdStrike Parsing Standard (CPS), basato su ECS | CSV, JSON e testo semplice |
| Microsoft Defender for Endpoint | Schema di caccia avanzata, con tabelle come DeviceProcessEvents | Risultati della caccia avanzata come un foglio di lavoro Excel; CSV dalla modalità guidata |
| Microsoft Sentinel | Tabelle di analisi dei log interrogate con KQL; normalizzazione ASIM opzionale | Risultati della query come CSV dalla finestra Log |
Non sono necessari script di conversione, rinomina dei campi o parser personalizzati per nessuno di essi.
Stesso evento, quattro descrizioni diverse
Ogni piattaforma registra la stessa attività a modo suo. Un singolo avvio di processo comporta nomi di campi differenti a seconda di dove è stato esportato:
| Cosa rileva un rilevamento | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Riga di comando del nuovo processo | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Immagine del nuovo processo | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Processo genitore o avviante | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Le differenze vanno oltre i nomi:
- Nomi diversi per lo stesso campo. Un concetto, come una riga di comando, ha un nome diverso su ogni piattaforma.
- Struttura diversa. UDM nidifica i campi sotto principali e target, mentre MDE e Falcon utilizzano nomi di colonne piatte. Alcuni valori sono suddivisi tra i campi, come FolderPath e FileName di MDE.
- Nomenclatura diversa all’interno di una piattaforma. Next-Gen SIEM mantiene i nomi nativi Falcon per la telemetria del sensore e utilizza nomi CPS basati su ECS per dati di terze parti. Entrambi possono apparire in una singola esportazione.
Di solito, gli analisti colmano questi divari manualmente prima che una singola regola possa essere eseguita. Con LogTotal, queste differenze non sono un tuo problema.
Come LogTotal gestisce i formati dei file
LogTotal rileva il formato del file per te. SOC Prime documenta il rilevamento automatico di EVTX, CEF, JSON e syslog, senza conversione manuale. LogTotal accetta file .log, .json, .jsonl, .evtx e .txt caricati o incollati fino a 3 GB o 3.000.000 eventi e ne elabora fino a 1,7 milioni in meno di un minuto.
Le piattaforme trattate qui differiscono principalmente nel modo in cui confezionano i record:
- Un singolo array JSON. L’esportazione JSON di LogScale racchiude tutti gli eventi in un unico array. LogTotal legge ogni elemento come un evento separato.
- Esportazioni CSV. Google SecOps, MDE avanzato caccia e Sentinel Logs esportano i risultati delle query come file CSV, con ogni intestazione di colonna denominata dopo un campo dello schema di quella piattaforma.
Non è necessario appiattire JSON nidificati, rinominare colonne o riordinare i campi prima del caricamento. La sanitizzazione avviene localmente nel tuo browser sugli eventi analizzati, quindi gli stessi identificatori vengono tokenizzati consistentemente indipendentemente dal formato in cui sono arrivati.
Come LogTotal gestisce i nomi dei campi e i mapping
LogTotal mappa i nomi dei campi di ciascuna piattaforma ai campi che si aspetta la sua logica di rilevamento, in modo che una regola venga valutata correttamente rispetto a tutti e quattro gli schemi. Gli utenti non devono mantenere i mapping, scrivere parser o scegliere uno schema.
Questo si basa sul lavoro di mapping che SOC Prime già fa per il suo contenuto di rilevamento. La matrice di supporto della piattaforma di SOC Prime elenca le regole per Google SecOps scritte contro lo schema dei dati UDM, e le query Kusto per MDE e Sentinel scritte contro i loro schemi predefiniti. LogTotal applica la stessa conoscenza ai file esportati.
Dopo il mapping, gli eventi di tutte e quattro le piattaforme attraversano lo stesso pipeline: circa 1.000.000 di regole di rilevamento e 13.000 etichette di minaccia, correlate con regole Sigma di Ordine Superiore e AI agentica in catene d’attacco mappate a MITRE ATT&CK.
Cosa significa questo per i team di sicurezza
Le differenze di formato e schema sono un problema di LogTotal, non tuo. In pratica:
- Esporta nel modo in cui fai già. Usa l’esportazione standard della tua piattaforma e carica il file così com’è.
- Miscelare fonti in un’unica indagine. I log di diverse piattaforme vengono analizzati con le stesse regole e correlazione, così i risultati sono comparabili.
- Mantieni privati i tuoi identificatori. La sanitizzazione sostituisce nomi host, IP, nomi utente e segreti con token HMAC stabili prima del caricamento. Tu mantieni la chiave e puoi mappare i token internamente.
- Ottieni la stessa profondità su ogni piattaforma. La copertura delle regole non dipende da quale SIEM o EDR ha prodotto il file.
Per i migliori risultati, esporta i campi che portano valore di rilevamento, come processo, riga di comando, processo genitore, utente, host e dettagli di rete, piuttosto che una vista ridotta del sommario. Dove una piattaforma offre entrambi, preferisci l’esportazione completa dell’evento rispetto a un sottoinsieme di colonne.
Pianificato per il futuro prossimo
Supporto per le esportazioni da Splunk, IBM QRadar, e OpenSearch/Elasticsearch è pianificato. Queste piattaforme portano le proprie convenzioni, come i nomi dei campi ECS di Elastic. L’esperienza rimarrà la stessa: esporta, carica e lascia che LogTotal gestisca formati e mappature dei campi.
