LogTotalがログを解析する前にログを洗浄する方法

LogTotalはプレーンテキスト、CSV、JSONをアップロードして検出ロジックを実行する前に、ユーザー名、ホスト名、IPアドレスなどの識別値をプレースホルダに置き換えます。その後、分析が開始される前に結果を確認するよう表示します。アップロードされたファイルは分析後に保持されません。EVTXファイルは今のところ例外で、アップロードされたまま分析され、サニタイズステップは行われません。

オンラインログ分析に対する反論はもっともです。ログは内部の名前やアドレス、場合によっては誰もログに記録したくなかったものを多く含んでいます。このページでは、LogTotalが何をマスクし、何を意図的にそのままにするか、そして何を自分でチェックすべきかを説明しています。

無料で始める

そのままになるもの、ならないもの、そしてその理由

検出ロジックは、名前ではなく動作を見ます。パスワードスプレーやエンコードされたPowerShellペイロードを見つけるには、ルールはイベントID、プロセス名やファイル名、コマンドラインの構造、ポート、プロトコル、タイムスタンプを必要とします。これらをマスクすると、多くを保護することなく分析を妨げることになります。

同じ値、同じプレースホルダ

マスキングは、一貫して調査する場合にのみ機能します。jane.doeがすべての行でuser_1になる場合、user_1があるアドレスから40回のログインに失敗し、その後成功したことを確認できます。もし各ユーザー名が異なるランダムな文字列になった場合、そのパターンは消えてしまいます。一貫したプレースホルダは、名前を取り除きつつストーリーを保ちます。

次に進む前に確認: あなたの役割

自動マスキングは一般的な形をキャッチしますが、環境を知っているわけではありません。サニタイズステップを過ぎる前に、次を確認してください。

• パスワードなどのコマンドラインに入力されたフリーテキストメッセージ内のシークレットや、エラーメッセージ内のAPIキー;
• ticket_ownerやapproved_byのように名前を保持するカスタムフィールド;
• ホスト名やパスに隠れたプロジェクト名や顧客コード名;
• URLやクエリ文字列内の個人データ。

何か見つけた場合、アップロード前にファイル内を洗浄してください。sedのワンライナーでほとんどのケースが処理できます:

sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log

EVTX: まだサニタイズされていません

EVTXファイルはアップロードされたまま分析され、サニタイズステップはありません。テストマシンには自由にEVTXをアップロードしてください。プロダクションホストには、データ処理を担当している人からの承認を得てください。今日サニタイズが必要な場合は、オープンソースのevtx_dumpを使用してファイルをJSONラインに変換し、それをアップロードしてください。

evtx_dump -o jsonl Security.evtx > Security.jsonl