Segui LogTotal accetta tre tipi di file: i registri eventi di Windows in formato EVTX, JSON (un evento per riga è l’opzione migliore) e testo in stile syslog. I caricamenti di testo e JSON passano attraverso il passaggio di sanitizzazione prima dell’analisi; i file EVTX no. Se i tuoi registri sono in un altro formato, c’è quasi sempre un comando di una riga che li converte. I più comuni sono elencati di seguito.
LogTotal è il servizio gratuito di SOC Prime per eseguire la logica di rilevamento su un file di registro senza dover configurare nulla: carica, sanitizza, rivedi. Formattare correttamente è l’unica parte che potrebbe confonderti, quindi questa pagina è la versione breve.
Cosa legge LogTotal oggi
| Formato | Fonti tipiche | Sanitizzato prima dell’analisi? | Come ottenerlo |
|---|---|---|---|
| EVTX | Sicurezza Windows, Sistema, Sysmon, PowerShell, Defender, DNS Server | Non ancora | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / JSON lines | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, audit di Kubernetes, journalctl -o json, esportazioni API SIEM | Sì | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Testo in stile syslog | auth.log e secure, esportazioni raw di Splunk, payload di QRadar, syslog del firewall | Sì | [sshd logs], [Splunk], [QRadar] |
| CSV | Download di accessi/audit di Entra ID, esportazioni di log di audit di Microsoft 365, esportazioni di audit di Google Workspace, risultati di ricerca di Splunk / Sentinel / Kibana, Visualizzatore eventi “Salva come CSV” | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Formattare correttamente JSON
Un evento per riga è la forma più sicura. Molti strumenti racchiudono gli eventi in array o buste. Appiattiscili prima di caricarli:
| Hai | Appiattisci con |
|---|---|
| Un array JSON (gcloud, az, molte API) | jq -c ‘.[]’ in.json > out.jsonl |
| File di log CloudTrail | jq -c ‘.Records[]’ *.json > out.jsonl |
| aws cloudtrail lookup-events output | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| Eventi di CloudWatch Logs | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Esportazione JSON REST di Splunk | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Controlla la codifica su Windows. Windows PowerShell 5.1 scrive in UTF-16 quando utilizzi > o Out-File senza opzioni. Aggiungi -Encoding utf8, come fa ogni esempio di PowerShell nelle nostre guide.
Mantieni il fuso orario. I timestamp ISO 8601 con Z o un offset fanno allineare le scoperte con altre fonti. I timestamp syslog classici non hanno anno e zona; segna il fuso orario della fonte quando li carichi.
Convertire ciò che LogTotal non legge
| Hai | Converti con |
|---|---|
| File di diario systemd (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Un .logarchive di macOS | log show –archive <file> –style json > out.json (su un Mac) |
| EVTX, ma vuoi il passaggio di sanitizzazione | evtx_dump -o jsonl in.evtx > out.jsonl |
| Log compressi in gzip | zcat -f in.log.gz > out.log |
| Un foglio di calcolo o esportazione XML dall’interfaccia web di un SIEM | Riesporta attraverso l’API o CLI della piattaforma; vedi |
Dimensione
split -l 200000 big.jsonl part_
Per EVTX, filtra durante l’esportazione con wevtutil /q
FAQ
LogTotal conserva i miei file?
No. I caricamenti vengono analizzati e non vengono conservati.
Saranno supportati più formati?
Sì. Aggiungiamo regolarmente formati e questa pagina elenca sempre cosa funziona oggi.
