Śledź LogTotal akceptuje trzy rodzaje plików: dzienniki zdarzeń systemu Windows w formacie EVTX, JSON (najlepiej działa jeden zdarzenie na linię) i tekst w stylu syslog. Przesłane pliki w formacie tekstowym i JSON przechodzą przez krok oczyszczania przed analizą; pliki EVTX jeszcze tego nie robią. Jeśli Twoje dzienniki są w innym formacie, prawie zawsze istnieje jedno polecenie, które je konwertuje. Powszechne są wymienione poniżej.
LogTotal to darmowa usługa firmy SOC Prime umożliwiająca uruchamianie logiki detekcji na pliku dziennika bez żadnej konfiguracji: przesyłanie, oczyszczanie, przeglądanie. Uzyskanie poprawnego formatu to jedyna przeszkoda, więc ta strona to skrócona wersja instrukcji.
Co LogTotal obecnie odczytuje
| Format | Typowe źródła | Oczyszczone przed analizą? | Jak to uzyskać |
|---|---|---|---|
| EVTX | Bezpieczeństwo Windows, System, Sysmon, PowerShell, Defender, DNS Server | Jeszcze nie | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / linie JSON | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, audyt Kubernetes, journalctl -o json, eksporty API SIEM | Tak | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Tekst w stylu syslog | auth.log i secure, eksporty surowe Splunk, ładunki QRadar, syslog zapór ogniowych | Tak | [sshd logs], [Splunk], [QRadar] |
| CSV | Pobieranie zapisów logowania/audytu Entra ID, eksportów dzienników audytu Microsoft 365, eksportów dzienników audytu Google Workspace, wyników wyszukiwania Splunk / Sentinel / Kibana, „Zapisz jako CSV” w Podglądzie zdarzeń | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Prawidłowe uzyskanie JSON
Jedno zdarzenie na linię to najbezpieczniejszy format. Wiele narzędzi owija zdarzenia w tablice lub koperty. Spłaszcz je przed przesłaniem:
| Masz | Spłaszcz za pomocą |
|---|---|
| Tablica JSON (gcloud, az, wiele API) | jq -c ’.[]’ in.json > out.jsonl |
| Pliki dzienników CloudTrail | jq -c ’.Records[]’ *.json > out.jsonl |
| wyjście aws cloudtrail lookup-events | jq -c ’.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| Zdarzenia dziennika CloudWatch | jq -c ’.events[].message | fromjson’ in.json > out.jsonl |
| Eksport JSON z REST Splunk | jq -c 'select(.result) | .result’ in.json > out.jsonl |
Zwróć uwagę na kodowanie w systemie Windows. PowerShell 5.1 dla systemu Windows zapisuje UTF-16, gdy używasz > lub Out-File bez opcji. Dodaj -Encoding utf8, jak w każdym przykładzie PowerShell w naszych przewodnikach.
Zachowaj strefę czasową. Znaczniki czasu ISO 8601 z Z lub przesunięciem sprawiają, że wyniki są spójne z innymi źródłami. Klasyczne znaczniki czasu syslog nie zawierają roku ani strefy; zanotuj strefę czasową źródła, gdy je przesyłasz.
Konwertowanie tego, czego LogTotal nie odczytuje
| Masz | Konwertuj za pomocą |
|---|---|
| pliki dziennika systemd (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Archiwum .log z macOS | log show –archive <file> –style json > out.json (na Mac) |
| EVTX, ale chcesz wykonać krok oczyszczania | evtx_dump -o jsonl in.evtx > out.jsonl |
| Skompresowane logi | zcat -f in.log.gz > out.log |
| Eksport arkusza kalkulacyjnego lub XML z interfejsu webowego SIEM | Ponownie wyeksportuj poprzez API lub CLI platformy; zobacz |
Rozmiar
split -l 200000 big.jsonl part_
Dla EVTX, filtruj podczas eksportowania za pomocą wevtutil /q
FAQ
Czy LogTotal przechowuje moje pliki?
Nie. Przesłane pliki są analizowane i nie są przechowywane.
Czy będą obsługiwane kolejne formaty?
Tak. Regularnie dodajemy nowe formaty, a ta strona zawsze informuje, co działa obecnie.
