Seguir Antes que o LogTotal execute qualquer lógica de detecção em um texto simples, CSV ou upload de JSON, ele substitui valores identificadores por placeholders: nomes de usuários, nomes de host, endereços IP e similares. Em seguida, mostra o resultado para revisão antes que a análise comece. Os arquivos enviados não são mantidos após a análise. Os arquivos EVTX são a exceção por agora: eles são analisados como enviados, sem a etapa de sanitização.
A objeção à análise de logs online é justa. Logs estão cheios de nomes internos, endereços e ocasionalmente coisas que ninguém pretendia registrar. Esta página explica o que o LogTotal mascara, o que ele deixa intencionalmente de lado e o que você ainda deve verificar por si mesmo.
O que permanece inalterado e por quê
A lógica de detecção olha para o comportamento, não para os nomes. Para detectar uma pulverização de senhas ou uma carga útil PowerShell codificada, as regras precisam de IDs de eventos, nomes de processos e arquivos, a estrutura de uma linha de comando, portas, protocolos e timestamps. Mascarar esses elementos cegaria a análise sem proteger muito.
Mesmo valor, mesmo placeholder
A máscara só funciona para investigação se for consistente. Se jane.doe se torna user_1 em todas as linhas, você ainda pode ver que user_1 falhou em 40 logins de um endereço e depois teve sucesso. Se cada nome de usuário se tornasse uma string aleatória diferente, esse padrão desapareceria. Placeholders consistentes mantêm a história intacta enquanto removem os nomes.
Sua parte: revise antes de continuar
A máscara automática captura as formas comuns. Ela não pode conhecer seu ambiente. Antes de continuar além da etapa de sanitização, procure por:
- segredos dentro de mensagens de texto livre, como senhas digitadas em linhas de comando ou chaves de API em mensagens de erro;
- campos personalizados que mantêm nomes, como ticket_owner ou approved_by;
- codenomes de projetos ou clientes escondidos em nomes de host ou caminhos;
- dados pessoais dentro de URLs e strings de consulta.
Se você notar algo, limpe no arquivo antes de enviar. Um comando sed simples resolve a maioria dos casos:
sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log
EVTX: ainda não sanitizados
Arquivos EVTX são analisados como enviados, sem a etapa de sanitização. Utilize uploads EVTX livremente para máquinas de teste. Para hosts de produção, obtenha aprovação de quem controla o manuseio de dados primeiro. Se precisar de sanitização hoje, converta o arquivo em linhas JSON com o evtx_dump de código aberto e faça o upload disso:
evtx_dump -o jsonl Security.evtx > Security.jsonl
FAQ
A sanitização torna meus logs anônimos segundo o GDPR?
Não necessariamente. Placeholders consistentes são uma pseudonimização, e dados pseudonimizados ainda podem ser considerados dados pessoais sob o GDPR. Isso não é uma razão para evitar a ferramenta, mas é uma razão para seguir as regras de proteção de dados da sua organização. Se estiver em dúvida, pergunte ao seu DPO. Isto não é aconselhamento jurídico.
