Jak LogTotal dezynfekuje logi przed analizą

Zanim LogTotal uruchomi jakąkolwiek logikę wykrywania na zwykłym tekście, pliku CSV lub JSON, zastępuje wartości identyfikujące z użyciem zastępczych etykiet: nazwy użytkowników, nazwy hostów, adresy IP i podobne. Następnie pokazuje wynik do przeglądu przed rozpoczęciem analizy. Przesłane pliki nie są przechowywane po analizie. Pliki EVTX są na razie wyjątkiem: są analizowane tak, jak przesłano, bez etapu czyszczenia.

Zastrzeżenie dotyczące analizy dzienników online jest uzasadnione. Dzienniki są pełne wewnętrznych nazw, adresów i czasem rzeczy, których nikt nie zamierzał w ogóle rejestrować. Ta strona wyjaśnia, co LogTotal maskuje, co celowo zostawia nietknięte i co powinieneś samemu jeszcze sprawdzić.

Rozpocznij za darmo

Co pozostaje bez zmian i dlaczego

Logika wykrywania patrzy na zachowanie, a nie na nazwy. Aby wykryć spray haseł lub zakodowany ładunek PowerShell, reguły potrzebują identyfikatorów zdarzeń, procesów i nazw plików, struktury linii poleceń, portów, protokołów i znaczników czasu. Maskowanie tych danych uniemożliwiłoby analizę, nie chroniąc wiele.

Ta sama wartość, to samo zastępstwo

Maskowanie działa w śledztwie tylko wtedy, gdy jest spójne. Jeśli jane.doe zmienia się na user_1 w każdej linii, nadal możesz zobaczyć, że user_1 nie udało się zalogować 40 razy z jednego adresu, a potem zdołało. Gdyby każda nazwa użytkownika stawała się innym losowym ciągiem, ten wzór zniknąłby. Spójne etykiety zastępcze zachowują historię, jednocześnie usuwając z niej nazwy.

Twoja rola: przegląd przed kontynuacją

Automatyczne maskowanie przechwytuje popularne wzorce. Nie zna jednak twojego środowiska. Przed kontynuacją po etapie czyszczenia, poszukaj:

• tajemnice wewnątrz wiadomości tekstowych, takie jak hasła wpisane na liniach poleceń lub klucze API w wiadomościach błędów;
• pola niestandardowe, które przechowują nazwy, takie jak ticket_owner lub approved_by;
• kody projektów lub klientów ukryte w nazwach hostów lub ścieżkach;
• dane osobowe wewnątrz adresów URL i ciągów zapytań.

Jeśli zauważysz coś, oczyść to w pliku przed przesłaniem. Większość przypadków obsłuży jedno polecenie sed:

sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log

EVTX: jeszcze nie zanonimizowane

Pliki EVTX są analizowane tak, jak przesłano, bez etapu czyszczenia. Używaj wysyłanych plików EVTX swobodnie dla maszyn testowych. Dla hostów produkcyjnych uzyskaj najpierw zgodę od osoby zarządzającej danymi. Jeśli potrzebujesz anonimizacji dzisiaj, przekonwertuj plik na linie JSON za pomocą open-source evtx_dump i wyślij go:

evtx_dump -o jsonl Security.evtx > Security.jsonl