您可以在 LogTotal 中分析哪些日志格式？

SOC Prime Team

LogTotal 接受三种类型的文件：EVTX 格式的 Windows 事件日志、JSON（每行一个事件效果最佳）和类 syslog 文本。在分析之前，文本和 JSON 文件会经过清理步骤；EVTX 文件目前还没有。如果您的日志是其他格式，几乎总有一个单行命令可以转换它们。以下列出了常用命令。

LogTotal 是 SOC Prime 免费提供的服务，用于在不进行任何设置的情况下对日志文件运行检测逻辑：上传、清理、审阅。格式正确是唯一可能困扰您的部分，所以这一页是简要版。

LogTotal 今天支持的读取格式

格式	典型来源	分析前是否经过清理？	如何获取
EVTX	Windows Security，System，Sysmon，PowerShell，Defender，DNS Server	还没有	[EVTX export guide], [Sysmon], [PowerShell]
JSON / JSON lines	CloudTrail，Entra ID，Microsoft 365，Google Cloud，Okta，Workspace，Kubernetes 审计，journalctl -o json，SIEM API 导出	是	[CloudTrail], [Entra ID], [journalctl], [Sentinel]
类 Syslog 文本	auth.log 和 secure，Splunk 原始导出，QRadar 负载，防火墙 syslog	是	[sshd logs], [Splunk], [QRadar]
CSV	Entra ID 登录/审计下载，Microsoft 365 审计日志导出，Google Workspace 审计导出，Splunk / Sentinel / Kibana 搜索结果，事件查看器“另存为 CSV”	Yes	[Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV]

每行一个事件是最安全的格式。 许多工具将事件包装在数组或信封中。上传前请展平它们：

您有	展平成
一个 JSON 数组（gcloud，az，多个 API）	jq -c ‘.[]’ in.json > out.jsonl
CloudTrail 日志文件	jq -c ‘.Records[]’ *.json > out.jsonl
aws cloudtrail lookup-events 输出	jq -c ‘.Events[].CloudTrailEvent \| fromjson’ in.json > out.jsonl
CloudWatch Logs 事件	jq -c ‘.events[].message \| fromjson’ in.json > out.jsonl
Splunk REST JSON 导出	jq -c ‘select(.result) \| .result’ in.json > out.jsonl

注意 Windows 上的编码。 Windows PowerShell 5.1 使用 > 或 Out-File 不加选项时写入 UTF-16。添加 -Encoding utf8，就像我们指南中的每个 PowerShell 示例一样。

保留时区。 ISO 8601 时间戳带有 Z 或偏移量，使结果与其他来源对齐。经典的 syslog 时间戳没有年份和时区；上传时请记录来源的时区。

您有	转换为
systemd 日志文件 (.journal)	journalctl -D <dir> -o json –no-pager > out.jsonl
macOS .logarchive	log show –archive <file> –style json > out.json（在 Mac 上）
EVTX，但您希望经过清理步骤	evtx_dump -o jsonl in.evtx > out.jsonl
压缩日志	zcat -f in.log.gz > out.log
从 SIEM 的网页接口导出的电子表格或 XML	通过平台的 API 或 CLI 重新导出；请参阅

split -l 200000 big.jsonl part_

对于 EVTX，导出时使用 wevtutil /q 进行过滤

LogTotal 会保留我的文件吗？

不会。上传的文件会被分析，但不会被保留。

会支持更多格式吗？

会的。我们会定期添加格式，这一页总是列出今天能正常使用的格式。