Segui Prima che LogTotal esegua qualsiasi logica di rilevamento su un testo semplice, CSV o caricamento JSON, sostituisce i valori identificativi con segnaposto: nomi utente, nomi host, indirizzi IP e simili. Quindi ti mostra il risultato da rivedere prima che l’analisi inizi. I file caricati non vengono conservati dopo l’analisi. I file EVTX sono l’eccezione per ora: vengono analizzati come caricati, senza il passaggio di sanificazione.
L’obiezione all’analisi dei log online è giusta. I log sono pieni di nomi interni, indirizzi e occasionalmente cose che nessuno intendeva registrare. Questa pagina spiega cosa maschera LogTotal, cosa lascia volutamente inalterato e cosa dovresti comunque controllare da solo.
Cosa rimane invariato e perché
La logica di rilevamento guarda al comportamento, non ai nomi. Per individuare uno spraying di password o un payload PowerShell codificato, le regole necessitano di ID eventi, nomi di processi e file, la struttura di una riga di comando, porte, protocolli e timestamp. Mascherarli accecherebbe l’analisi senza proteggere molto.
Stesso valore, stesso segnaposto
Il mascheramento funziona solo per l’indagine se è coerente. Se jane.doe diventa user_1 su ogni riga, puoi ancora vedere che user_1 ha fallito 40 accessi da un indirizzo e poi ha avuto successo. Se ogni nome utente diventasse una stringa casuale diversa, quel modello sparirebbe. Segnaposti coerenti mantengono intatta la storia mentre ne eliminano i nomi.
La tua parte: recensione prima di continuare
Il mascheramento automatico cattura le forme comuni. Non può conoscere il tuo ambiente. Prima di continuare oltre il passaggio di sanificazione, cerca:
- segreti all’interno di messaggi a testo libero, come password digitate nelle righe di comando o chiavi API nei messaggi di errore;
- campi personalizzati che contengono nomi, come ticket_owner o approved_by;
- nomi in codice di progetti o clienti nascosti nei nomi host o nei percorsi;
- dati personali all’interno di URL e stringhe di query.
Se noti qualcosa, puliscilo nel file prima di caricarlo. Una singola riga del comando sed gestisce la maggior parte dei casi:
sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log
EVTX: non ancora sanificato
I file EVTX vengono analizzati come caricati, senza il passaggio di sanificazione. Usa liberamente il caricamento EVTX per macchine di test. Per gli host di produzione, ottieni l’approvazione da chi gestisce i dati prima. Se hai bisogno di sanificazione oggi, converti il file in linee JSON con l’evtx_dump open-source e caricalo:
evtx_dump -o jsonl Security.evtx > Security.jsonl
FAQ
La sanificazione rende i miei log anonimi secondo il GDPR?
Non necessariamente. I segnaposti coerenti sono una pseudonimizzazione, e i dati pseudonimizzati possono ancora essere considerati dati personali secondo il GDPR. Questo non è un motivo per evitare lo strumento, ma è un motivo per seguire le regole di protezione dei dati della tua organizzazione. In caso di dubbio, chiedi al tuo DPO. Questo non è un consiglio legale.
