LogTotal이 분석 전에 로그를 정제하는 방법

LogTotal은 텍스트, CSV 또는 JSON 파일을 업로드하여 검색 로직을 실행하기 전에 사용자 이름, 호스트 이름, IP 주소와 같은 식별 값을 플레이스홀더로 대체합니다. 그런 다음 분석이 시작되기 전에 결과를 검토할 수 있도록 보여줍니다. 업로드된 파일은 분석 후 저장되지 않습니다. EVTX 파일은 예외로, 현재는 업로드된 상태 그대로 분석되며, 정화 단계는 지나지 않습니다.

온라인 로그 분석에 대한 이의제기는 타당합니다. 로그에는 내부 이름, 주소 및 때때로 로그에 남기지 말아야 할 것들이 포함되어 있습니다. 이 페이지는 LogTotal이 어떤 항목을 마스킹하고, 어떤 항목을 그대로 두며, 스스로 점검해야 할 사항에 대해 설명합니다.

무료로 시작하기

변경되지 않는 항목과 그 이유

탐지 로직은 이름이 아니라 행동을 봅니다. 비밀번호 스프레이나 인코딩된 PowerShell 페이로드를 발견하려면, 규칙은 이벤트 ID, 프로세스 및 파일 이름, 명령줄의 구조, 포트, 프로토콜 및 타임스탬프가 필요합니다. 이를 마스킹하면 많은 것을 보호하지 않고 분석을 무력화시킵니다.

같은 값, 같은 플레이스홀더

일관되지 않으면 마스킹은 조사에 소용이 없습니다. 예를 들어 jane.doe가 모든 라인에서 user_1로 변경되면, user_1이 한 주소에서 40번의 로그인에 실패하다가 성공했음을 여전히 확인할 수 있습니다. 모든 사용자 이름이 다른 랜덤 문자열로 바뀌면 이러한 패턴은 사라집니다. 일관된 플레이스홀더는 이름을 제거하면서 이야기를 그대로 유지합니다.

귀하의 역할: 계속하기 전에 검토하기

자동 마스킹은 일반적인 형태를 잡아냅니다. 그러나 귀하의 환경을 알 수는 없습니다. 정화 단계를 지나 계속하기 전에 아래를 확인하세요:

• 명령줄에 입력된 비밀번호나 오류 메세지에 포함된 API 키와 같은 자유 텍스트 메시지 내의 비밀;
• ticket_owner나 approved_by와 같은 이름을 보유하는 사용자 정의 필드;
• 호스트 이름이나 경로에 숨겨진 프로젝트나 고객 코드명;
• URL과 쿼리 문자열 내의 개인 데이터.

무언가 발견하면 업로드하기 전에 파일에서 정화하십시오. sed 한 줄로 대부분의 경우를 처리할 수 있습니다:

sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log

EVTX: 아직 정화되지 않음

EVTX 파일은 업로드된 그대로 분석되며, 정화 단계를 거치지 않습니다. 테스트 머신에서는 자유롭게 EVTX 업로드를 사용하세요. 프로덕션 호스트의 경우, 데이터 처리 소유자의 승인을 먼저 받으십시오. 오늘 정화가 필요하면, 오픈 소스 evtx_dump를 사용하여 파일을 JSON 라인으로 변환한 후 업로드하세요:

evtx_dump -o jsonl Security.evtx > Security.jsonl