Suivre LogTotal de SOC Prime prend désormais en charge les exportations de journaux de quatre grandes plateformes SIEM et EDR : Google SecOps, CrowdStrike Falcon LogScale / SIEM nouvelle génération, Microsoft Defender for Endpoint (MDE) et Microsoft Sentinel. Chaque plateforme utilise ses propres formats de fichiers, noms de champs et modèle de données. LogTotal gère ces différences automatiquement, permettant aux équipes de sécurité de télécharger les exportations telles quelles et d’obtenir la même profondeur d’analyse de chaque source. Le support pour Splunk, IBM QRadar et OpenSearch/Elasticsearch est à venir.
Quoi de neuf : quatre plateformes, un analyseur
Les plateformes nouvellement prises en charge apportent chacune un modèle de données et des options d’exportation différentes :
| Plateforme | Modèle de données | Exportations documentées par le fournisseur |
| Google SecOps | Modèle de données unifié (UDM), produit par des parseurs qui normalisent les journaux bruts | Événements de détection en tant que CSV, jusqu’à 100 000 événements |
| CrowdStrike Falcon LogScale / SIEM de nouvelle génération | Noms de champ natifs du capteur Falcon ; données tierces analysées selon le Norme de Parsing CrowdStrike (CPS), basée sur ECS | CSV, JSON et texte brut |
| Microsoft Defender for Endpoint | Schéma de chasse avancée, avec des tables telles que DeviceProcessEvents | Résultats de chasse avancée en tant que classeur Excel ; CSV en mode guidé |
| Microsoft Sentinel | Tables de Log Analytics interrogées avec KQL ; normalisation ASIM optionnelle | Résultats de requête en tant que CSV à partir de la fenêtre Journaux |
Aucun script de conversion, renommage de champ, ou parseur personnalisé n’est requis pour aucun d’eux.
Même événement, quatre descriptions différentes
Chaque plateforme enregistre la même activité à sa façon. Un lancement de processus unique utilise des noms de champs différents selon sa provenance d’exportation :
| Ce que cherche une détection | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Ligne de commande du nouveau processus | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Nouvelle image de processus | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Processus parent ou initiateur | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Les différences vont au-delà des noms :
- Noms différents pour le même champ. Un concept, comme une ligne de commande, porte un nom différent sur chaque plateforme.
- Structure différente. L’UDM imbrique les champs sous principal et target, tandis que MDE et Falcon utilisent des noms de colonnes plats. Certaines valeurs sont réparties entre les champs, comme FolderPath et FileName de MDE.
- Nomination différente au sein d’une même plateforme. Le SIEM de nouvelle génération conserve les noms natifs Falcon pour la télémétrie du capteur et utilise des noms CPS basés sur ECS pour les données tierces. Les deux peuvent apparaître dans une seule exportation.
Habituellement, les analystes comblent ces écarts manuellement avant qu’une seule règle puisse fonctionner. Avec LogTotal, ces différences ne sont pas votre problème.
Comment LogTotal gère les formats de fichiers
LogTotal détecte le format de fichier pour vous. SOC Prime documente la détection automatique de EVTX, CEF, JSON et syslog, sans conversion manuelle. LogTotal accepte les fichiers .log, .json, .jsonl, .evtx et .txt téléchargés ou collés jusqu’à 3 Go ou 3 000 000 événements et traite jusqu’à 1,7 million d’événements en moins d’une minute.
Les plateformes couvertes ici diffèrent surtout dans la manière dont elles emballent les enregistrements :
- Un seul tableau JSON. L’export JSON de LogScale enveloppe tous les événements dans un seul tableau. LogTotal lit chaque élément comme un événement séparé.
- Exportations CSV. Google SecOps, MDE chasse avancée, et Sentinel Logs exportent les résultats de requête sous forme de fichiers CSV, chaque en-tête de colonne portant le nom d’un champ dans le schéma de la plateforme.
Vous n’avez pas besoin d’aplatir le JSON imbriqué, de renommer les colonnes, ou de réorganiser les champs avant le téléchargement. La sanitisation s’exécute ensuite localement dans votre navigateur sur les événements analysés, de sorte que les mêmes identifiants sont tokenisés de manière cohérente quel que soit le format dans lequel ils sont arrivés.
Comment LogTotal gère les noms et les mappages de champs
LogTotal associe les noms de champs de chaque plateforme aux champs que sa logique de détection attend, de sorte qu’une seule règle s’évalue correctement sur les quatre schémas. Les utilisateurs n’ont pas besoin de maintenir des mappages, d’écrire des parseurs, ou de choisir un schéma.
Cela s’appuie sur le travail de mappage que SOC Prime fait déjà pour son contenu de détection. La matrice de support des plateformes de SOC Prime liste des règles pour Google SecOps écrites en fonction du schéma de données UDM, et des requêtes Kusto pour MDE et Sentinel écrites en fonction de leurs schémas par défaut. LogTotal applique les mêmes connaissances aux fichiers exportés.
Après mappage, les événements des quatre plateformes passent par le même pipeline : environ 1 000 000 de règles de détection et 13 000 étiquettes de menace, corrélées avec des règles Sigma de haut niveau et une intelligence artificielle agentique en chaînes d’attaque cartographiées selon MITRE ATT&CK.
Ce que cela signifie pour les équipes de sécurité
Les différences de format et de schéma sont le problème de LogTotal, pas le vôtre. En pratique :
- Exploitez comme vous le faites déjà. Utilisez l’exportation standard de votre plateforme et téléchargez le fichier tel quel.
- Mélangez des sources dans une enquête. Les journaux de différentes plateformes sont analysés avec les mêmes règles et corrélations, de sorte que les résultats sont comparables.
- Gardez vos identifiants privés. La sanitisation remplace les noms d’hôte, les IP, les noms d’utilisateur et les secrets par des tokens HMAC stables avant le téléchargement. Vous conservez la clé et pouvez mapper les tokens en interne.
- Obtenez la même profondeur sur chaque plateforme. La couverture par les règles ne dépend pas de la provenance du fichier SIEM ou EDR.
Pour des résultats optimaux, exportez les champs qui portent une valeur de détection, tels que processus, ligne de commande, processus parent, utilisateur, hôte et détails réseau, plutôt qu’une vue récapitulative réduite. Là où une plateforme propose les deux, préférez l’exportation complète de l’événement à un sous-ensemble de colonnes.
Planifié pour un proche avenir
Support pour les exportations de Splunk, IBM QRadar, et OpenSearch/Elasticsearch est planifiée. Ces plateformes apportent leurs propres conventions, comme les noms de champs ECS d’Elastic. L’expérience restera la même : exportez, téléchargez, et laissez LogTotal gérer les formats et les mappages de champs.
