Śledź LogTotal od SOC Prime teraz obsługuje eksporty logów z czterech głównych platform SIEM i EDR: Google SecOps, CrowdStrike Falcon LogScale / Next-Gen SIEM, Microsoft Defender for Endpoint (MDE) oraz Microsoft Sentinel. Każda z platform używa swoich formatów plików, nazw pól i modeli danych. LogTotal automatycznie obsługuje te różnice, dzięki czemu zespoły bezpieczeństwa mogą przesyłać eksporty tak, jak są, i uzyskiwać tę samą głębokość analizy z każdego źródła. Wsparcie dla Splunk, IBM QRadar i OpenSearch/Elasticsearch jest planowane.
Co nowego: cztery platformy, jeden analizator
Nowo obsługiwane platformy każda przynoszą inny model danych i różne opcje eksportu:
| Platforma | Model danych | Eksporty dokumentowane przez dostawcę |
| Google SecOps | Zunifikowany Model Danych (UDM), tworzony przez parsery, które normalizują surowe logi | Wydarzenia detekcyjne jako CSV, do 100 000 wydarzeń |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | Natwór Falcon sensor field names; third-party data parsed to the CrowdStrike Parsing Standard (CPS), oparty na ECS | CSV, JSON, i czysty tekst |
| Microsoft Defender for Endpoint | Zaawansowane schematy polowań, z tabelami takimi jak DeviceProcessEvents | Wyniki zaawansowanych polowań jako skoroszyt Excel; CSV z trybu wspomaganego |
| Microsoft Sentinel | Tabele Log Analytics dociekane za pomocą KQL; opcjonalna normalizacja ASIM | Wyniki zapytań jako CSV z okna Logi |
Żadne skrypty konwersji, zmiany nazw pól ani niestandardowe parsery nie są potrzebne dla żadnej z nich.
To samo wydarzenie, cztery różne opisy
Każda platforma rejestruje tę samą aktywność na swój sposób. Pojedyncze uruchomienie procesu ma różne nazwy pól w zależności od tego, skąd zostało eksportowane:
| Co wykrycie szuka | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Linia komend nowego procesu | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Obraz nowego procesu | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Proces nadrzędny lub inicjujący | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Różnice wykraczają poza nazwy:
- Różne nazwy dla tego samego pola. Jeden koncept, taki jak linia komend, nosi inną nazwę na każdej platformie.
- Różna struktura. UDM umieszcza pola pod principal i target, podczas gdy MDE i Falcon używają płaskich nazw kolumn. Niektóre wartości są podzielone pomiędzy pola, jak FolderPath i FileName w MDE.
- Różne nazewnictwo w ramach jednej platformy. Next-Gen SIEM zachowuje natywne nazwy dla telemetrycznych czujników Falcon i używa nazw zgodnych z ECS w CPS dla danych zewnętrznych. Oba mogą pojawić się w jednym eksporcie.
Zazwyczaj analitycy ręcznie wyrównują te różnice, zanim uruchomiona zostanie jakakolwiek reguła. Dzięki LogTotal, te różnice nie są twoim problemem.
Jak LogTotal obsługuje formaty plików
LogTotal rozpoznaje format pliku za Ciebie. SOC Prime dokumentuje automatyczne wykrywanie EVTX, CEF, JSON, i syslog, bez potrzeby ręcznej konwersji. LogTotal akceptuje przesłane lub wklejone pliki .log, .json, .jsonl, .evtx i .txt do 3 GB lub 3 000 000 zdarzeń i przetwarza do 1,7 miliona zdarzeń w mniej niż minutę.
Platformy omawiane tutaj najbardziej różnią się pod względem tego, jak pakują zapisy:
- Pojedyncza tablica JSON. JSON eksport LogScale owija wszystkie zdarzenia w jedną tablicę. LogTotal czyta każdy element jako osobne wydarzenie.
- Eksporty CSV. Google SecOps, zaawansowane polowanie MDE i logi Sentinel eksportują wyniki zapytań jako pliki CSV, z każdą nazwą kolumny odpowiadającą polu w schemacie tej platformy.
Nie musisz spłaszczać zagnieżdżonych JSON, zmieniać nazwy kolumn ani przestawiać pól przed przesłaniem. Oczyszczanie odbywa się lokalnie w przeglądarce na przetworzonych wydarzeniach, dzięki czemu te same identyfikatory są tokenizowane konsekwentnie bez względu na format, w jakim przybyły.
Jak LogTotal zarządza nazwami pól i mapowaniem
LogTotal mapuje nazwy pól każdej platformy do pól oczekiwanych w logice detekcji, aby jedna reguła była poprawnie oceniana w kontekście wszystkich czterech schematów. Użytkownicy nie muszą utrzymywać mapowań, pisać parserów ani wybierać schematu.
To bazuje na pracy mapującej, którą SOC Prime już wykonuje dla swoich treści detekcyjnych. Matryca wsparcia platformy SOC Prime wymienia reguły dla Google SecOps napisanej w schemacie danych UDM oraz zapytania Kusto dla MDE i Sentinel napisane w ich domyślnych schematach. LogTotal stosuje tę samą wiedzę do eksportowanych plików.
Po mapowaniu, zdarzenia z wszystkich czterech platform przechodzą przez tę samą ścieżkę: około 1 000 000 reguł detekcji i 13 000 etykiet zagrożeń, skorelowanych z wyższego rzędu regułami Sigma i agentową AI na łańcuchy ataków mapowane na MITRE ATT&CK.
Co to oznacza dla zespołów bezpieczeństwa
Różnice w formacie i schemacie są problemem LogTotal, nie twoim. W praktyce:
- Eksportuj jak już to robisz. Użyj standardowego eksportu swojej platformy i przesyłaj plik w oryginalnej formie.
- Mieszaj źródła w jednym dochodzeniu. Logi z różnych platform są analizowane przy użyciu tych samych reguł i korelacji, więc wyniki są porównywalne.
- Zachowaj prywatność swoich identyfikatorów. Sanityzacja zastępuje nazwy hostów, adresy IP, nazwy użytkowników i tajemnice stabilnymi tokenami HMAC przed przesłaniem. Zachowujesz klucz i możesz odtworzyć tokeny wewnętrznie.
- Uzyskaj tę samą głębokość na każdej platformie. Pokrycie reguł nie zależy od tego, które SIEM lub EDR wyprodukowało plik.
Dla najlepszych wyników eksportuj pola, które niosą wartość detekcyjną, takie jak proces, linia komend, proces nadrzędny, użytkownik, host i szczegóły sieci, a nie ograniczony widok podsumowania. Gdzie platforma oferuje oba, preferuj pełny eksport zdarzenia nad podzbiorem kolumn.
Planowane w bliskiej przyszłości
Wsparcie dla eksportów z Splunk, IBM QRadar, oraz OpenSearch/Elasticsearch jest planowane. Te platformy mają swoje własne konwencje, takie jak nazwy pól ECS w Elastic. Doświadczenie pozostanie takie samo: eksportuj, przesyłaj i pozwól LogTotal obsługiwać formaty i mapowania pól.
