팔로우 LogTotal은 세 가지 종류의 파일을 허용합니다: EVTX 형식의 Windows 이벤트 로그, JSON (줄당 하나의 이벤트가 가장 잘 작동), 그리고 syslog 스타일의 텍스트 파일입니다. 텍스트와 JSON 업로드는 분석 전에 정제 과정을 거치지만, EVTX 파일은 아직 그렇지 않습니다. 로그가 다른 형식이면, 거의 항상 이를 변환할 수 있는 한 줄 명령어가 존재합니다. 일반적인 것들은 아래에 나와 있습니다.
LogTotal은 SOC Prime의 무료 서비스로, 설정 없이 로그 파일에 대한 탐지 로직을 실행할 수 있습니다: 업로드, 정제, 리뷰. 형식을 올바르게 맞추는 것이 유일하게 헷갈릴 수 있는 부분이므로, 이 페이지는 그 짧은 버전입니다.
오늘날 LogTotal이 읽을 수 있는 파일
| 형식 | 일반적 소스 | 분석 전에 정제되나요? | 얻는 방법 |
|---|---|---|---|
| EVTX | Windows 보안, 시스템, Sysmon, PowerShell, Defender, DNS 서버 | 아직 아님 | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / JSON lines | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, Kubernetes 감사, journalctl -o json, SIEM API 내보내기 | 예 | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Syslog 스타일의 텍스트 | auth.log 및 secure, Splunk 원시 내보내기, QRadar 페이로드, 방화벽 syslog | 예 | [sshd logs], [Splunk], [QRadar] |
| CSV | Entra ID 로그인/감사 다운로드, Microsoft 365 감사 로그 내보내기, Google Workspace 감사 내보내기, Splunk / Sentinel / Kibana 검색 결과, 이벤트 뷰어 “CSV로 저장” | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
맞는 JSON 형식 얻기
줄당 하나의 이벤트가 가장 안전한 형식입니다. 많은 도구가 이벤트를 배열이나 봉투로 감쌉니다. 업로드 전에 이를 편평하게 만드세요:
| 당신은 가진 | 다음을 사용해 편평하게: |
|---|---|
| JSON 배열 (gcloud, az, 다수의 API) | jq -c ‘.[]’ in.json > out.jsonl |
| CloudTrail 로그 파일 | jq -c ‘.Records[]’ *.json > out.jsonl |
| aws cloudtrail 이벤트 검색 출력 | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| CloudWatch 로그 이벤트 | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Splunk REST JSON 내보내기 | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Windows에서 인코딩을 주의하세요. Windows PowerShell 5.1은 > 또는 Out-File 사용 시 옵션 없이 UTF-16을 작성합니다. -Encoding utf8을 추가하세요, 우리의 가이드에서의 모든 PowerShell 예제처럼.
시간대를 유지하세요. ISO 8601 타임스탬프를 Z 또는 오프셋과 함께 사용하여 다른 소스와의 일치도를 제공합니다. 고전적 syslog 타임스탬프는 연도와 시간대를 갖고 있지 않습니다; 이를 업로드할 때 소스의 시간대를 기록하세요.
LogTotal이 읽지 않는 것을 변환하기
| 당신은 가진 | 변환 사용 |
|---|---|
| systemd 저널 파일 (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| macOS .logarchive | log show –archive <file> –style json > out.json (on a Mac) |
| EVTX, 그러나 정제 단계가 필요할 때 | evtx_dump -o jsonl in.evtx > out.jsonl |
| Gzipped 로그 | zcat -f in.log.gz > out.log |
| SIEM의 웹 인터페이스에서 스프레드시트나 XML 내보내기 | 플랫폼의 API 또는 CLI로 다시 내보내기; 참조하세요 |
크기
split -l 200000 big.jsonl part_
EVTX의 경우, wevtutil /q를 사용해 내보낼 때 필터링
FAQ
LogTotal이 내 파일을 보관하나요?
아니요. 업로드된 파일은 분석되고 보관되지 않습니다.
더 많은 형식이 지원될까요?
예. 우리는 정기적으로 형식을 추가하며, 이 페이지는 오늘날 작동하는 형식을 항상 나열합니다.
