Seguir Antes de que LogTotal ejecute cualquier lógica de detección en un texto sin formato, CSV o carga JSON, reemplaza valores identificativos con marcadores de posición: nombres de usuario, nombres de host, direcciones IP y similares. Luego te muestra el resultado para revisar antes de que comience el análisis. Los archivos cargados no se conservan después del análisis. Los archivos EVTX son la excepción por ahora: se analizan tal como se cargan, sin el paso de sanitización.
La objeción al análisis de registros en línea es justa. Los registros están llenos de nombres internos, direcciones y, ocasionalmente, cosas que nadie quiso registrar. Esta página explica qué enmascara LogTotal, qué deja deliberadamente sin cambiar y qué deberías revisar por ti mismo.
Qué se mantiene igual y por qué
La lógica de detección observa el comportamiento, no los nombres. Para detectar un spray de contraseñas o una carga útil de PowerShell codificada, las reglas necesitan IDs de eventos, nombres de procesos y archivos, la estructura de una línea de comando, puertos, protocolos y marcas de tiempo. Enmascarar eso ciega el análisis sin proteger mucho.
Mismo valor, mismo marcador de posición
El enmascaramiento solo funciona para la investigación si es consistente. Si jane.doe se convierte en usuario_1 en cada línea, aún puedes ver que usuario_1 falló en 40 inicios de sesión desde una dirección y luego tuvo éxito. Si cada nombre de usuario se convirtiera en una cadena aleatoria diferente, ese patrón desaparecería. Los marcadores de posición consistentes mantienen la historia intacta mientras eliminan los nombres de ella.
Tu parte: revisar antes de continuar
El enmascaramiento automático captura las formas comunes. No puede conocer tu entorno. Antes de que continúes más allá del paso de sanitización, busca:
- secretos dentro de mensajes de texto libre, como contraseñas escritas en líneas de comando o claves API en mensajes de error;
- campos personalizados que contienen nombres, como ticket_owner o approved_by;
- nombres de proyecto o cliente ocultos en nombres de host o rutas;
- datos personales dentro de URLs y cadenas de consulta.
Si detectas algo, límpialo en el archivo antes de cargarlo. Un one-liner en sed maneja la mayoría de los casos:
sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log
EVTX: no se sanitiza aún
Los archivos EVTX se analizan tal como se cargan, sin el paso de sanitización. Usa las cargas EVTX libremente para máquinas de prueba. Para hosts de producción, obtén aprobación de quien sea responsable del manejo de datos primero. Si necesitas sanitización hoy, convierte el archivo a líneas JSON con el evtx_dump de código abierto y carga eso:
evtx_dump -o jsonl Security.evtx > Security.jsonl
FAQ
¿La sanitización hace que mis registros sean anónimos bajo el GDPR?
No necesariamente. Los marcadores de posición consistentes son pseudoanonimización, y los datos pseudonimizados aún pueden considerarse datos personales bajo el GDPR. Eso no es una razón para evitar la herramienta, pero sí es una razón para seguir las reglas de protección de datos de tu organización. Si tienes dudas, consulta con tu DPO. Esto no es un consejo legal.
