Log-Analyse mit LogTotal

Was ist Log-Analyse?

Log-Analyse ist die Praxis der Sammlung, der Auswertung, der Normalisierung und des Durchsuchens von maschinengeräuschlich erzeugten Ereignisdatensätzen, um eine Betriebs- oder Sicherheitsfrage zu beantworten. In einem SOC ist diese Frage meist eng: Hat sich dieses Konto von einer unerwarteten Quelle authentifiziert, hat dieser Host einen ungewöhnlichen Kindprozess gestartet, welche API-Aufrufe gingen dem Datentransfer voraus.

Das Rohmaterial ist heterogen: Windows Security und Sysmon Channels in .evtx Dateien, Linux auth.log und journald Ausgabe, Firewall- und Proxyereignisse in CEF und Cloud-Auditrails wie AWS CloudTrail oder Microsoft Entra ID-Anmeldeprotokolle, die als JSON exportiert werden.

Eine funktionierende Log-Analyse-Pipeline hat vier Phasen:

1. Sammlung. Exportiere Ereignisse aus der Quelle, ohne Felder oder Zeitstempel zu verlieren.
2. Normalisierung. Ordne src_ip, IpAddress und sourceIPAddress einem gemeinsamen Schema zu.
3. Erkennung. Führe Sigma- oder Anbieterrichtlinien aus und markiere jeden Treffer mit MITRE ATT&CK-Techniken.
4. Korrelation. Gruppiere verwandte Treffer in eine Zeitleiste oder Angriffskette, die ein Analyst validieren kann.

Warum ist Log-Analyse wichtig für Erkennung und Reaktion?

Logs sind oft der einzige Nachweis, der einen Einbruch überlebt. EDR-Telemetrie wird überschrieben, der Arbeitsspeicher geht beim Neustart verloren und die Paketaufzeichnung läuft selten, wenn man sie braucht. Windows-Ereigniskennungen 4624, 4672 und 4688 oder CloudTrail-Aufrufe wie ConsoleLogin und CreateAccessKey sind typischerweise die primären Beweise für die Einordnung eines Vorfalls.

Drei Faktoren machen Log-Analyse zu einer Kernkompetenz im SOC anstelle einer SIEM-Funktion:

• Volumen. Ein einzelner Vorfall kann Millionen von Ereignissen erzeugen, und grep findet nur das, wonach man bereits weiß, zu suchen.
• Abdeckungslücken. Vertragspartner-Laptops, OT-Segmente und SaaS-Mieter, die niemand angeschlossen hat, sind nicht im SIEM, aber ihre Logs benötigen dennoch eine Analyse.
• Datenhandhabung. Protokolle enthalten Benutzernamen, Hostnamen, IPs, Sitzungscookies und Token. Nach der DSGVO sind viele dieser Daten personenbezogen, und ein durchgesickertes Token ist ein aktiver Zugangspfad.

Jedes Protokoll, das an ein Anbieterticket angehängt oder in einen KI-Chat eingefügt wird, erweitert den Kreis der Personen und Gerichtsbarkeiten, die die Originalwerte lesen können. Gute Log-Analyse beantwortet die Frage schnell, ohne einen zweiten Vorfall zu erzeugen.

Eine kurze Geschichte der Log-Analyse

Syslog, geschrieben von Eric Allman für Sendmail in den frühen 1980er Jahren, wurde später in RFC 3164 (2001) und RFC 5424 (2009) standardisiert. Zwei Jahrzehnte lang bedeutete Log-Analyse grep und awk auf einem zentralen Syslog-Server.

Windows wurde strukturiert. Windows Vista ersetzte das veraltete .evt-Format durch das XML-basierte .evtx-Format und das heute noch verwendete Kanalmodell; Sysmon (2014) fügte hochfidele Prozess- und Netzwerktelemetrie hinzu.

Die Mitte der 2000er Jahre brachte SIEM. ArcSight, QRadar und später Splunk machten die zentrale Suche und Korrelation zu einer Produktkategorie, und ArcSights CEF wird noch immer von den meisten Netzwerkgeräten ausgegeben. Die 2010er Jahre brachten offene Stacks wie ELK und Cloud-Auditrails wie CloudTrail (2013) hinzu.

Im Jahr 2017 bot Sigma den Verteidigern ein herstellerneutrales Regel-Format. Im selben Jahr begann SOC Prime damit, Sigma-Regeln mit MITRE ATT&CK-Techniken zu markieren und wandte den Ansatz auf die öffentliche NotPetya-Untersuchung an. ATT&CK-Zuordnung ist inzwischen eine Standarderwartung für Erkennungsinhalte geworden.

Wo die Log-Analyse sich hin bewegt

Erkennung bewegt sich stromaufwärts. Teams führen Sigma-Regeln für Streaming-Ereignisse in der Pipeline aus, bevor die Daten das SIEM erreichen, reduzieren so die Speicherkosten und verkürzen die mittlere Erkennungszeit von Stunden auf Minuten.

Korrelation übertrifft einzelne Alarme. Isolierte Treffer mit niedriger Treue sind Lärm. Höhergeordnete Logik, die Techniken über Hosts und Zeitfenster hinweg zu Angriffsketten verknüpft, gibt Analysten etwas zu bestätigen oder zu schließen.

KI-Triage trifft auf Datenschutzgrenzen. LLMs erklären Prozessbäume und fassen Zeitleisten gut zusammen, aber die Rohtelemetrie an einen Modellanbieter zu senden, wirft Fragen zu Datenschutz und Verträgen auf, und Frontier-Modelle können Sicherheitsinhalte vollständig ablehnen. Während der Vorfallreaktion von HuggingFace im Juli 2026 wurde ein Versuch, etwa 17.000 Ereignisse an Frontier-Modelle zu senden, durch Schutzmaßnahmen blockiert.

Pseudonymisierung wird zu einer Pipeline-Stufe. Statische Maskierung zerstört Korrelation, und einfache Hashes können durch Wörterbucherraten zurückgerechnet werden. Keyed HMAC-Tokens halten Beziehungen intakt, während die Werte entfernt werden. Erwarten Sie diesen Schritt vor jedem externen Ziel: KI-Dienste, Anbietersupports, MSSPs und geteilte Datenseen.

Vorteile der Log-Analyse

• Schnellere Eingrenzung für Vorfallbehandler. Eine korrelierte Zeitleiste beantwortet „welche Hosts, welche Konten, seit wann“ in Minuten, was die Eindämmung beschleunigt und die Verweildauer verkürzt.
• Validierte Erkennungen für Ingenieure. Das erneute Abspielen von Protokollen gegen Regel-Logik zeigt, welche Sigma-Regeln feuern, welche lärmig sind, und welche ATT&CK-Techniken keine Abdeckung haben.
• Nachweise für Compliance. PCI DSS Anforderung 10, ISO/IEC 27001 Kontrolle A.8.15 und NIS2 erwarten alle, dass Sicherheitsereignisse protokolliert und überprüft werden.
• Ursachenanalyse für Administratoren. Die journalctl-Ausgabe, die einen fehlgeschlagenen Dienst erklärt, zeigt oft eine Fehlkonfiguration, die ein Angreifer ausnutzen könnte.
• Niedrigere SIEM-Kosten. Eine kurzlebige Quelle kann einmal analysiert werden, ohne sie zu onboarden.
• Sichere Zusammenarbeit. Pseudonymisierte Protokolle erlauben einem Beibehaltungsabrechnung, MSSP oder einem Anbieter-Supportcenter, Hosts und Benutzer zu clustern, ohne echte Identitäten zu sehen.

Anwendungsfälle der Log-Analyse

Eingrenzung nicht verwalteter Hosts. Ein Vertragsnehmer-Laptop ohne EDR wird des Kompromisses verdächtigt. Exportiere Sicherheits-, Sysmon- und PowerShell-Logs und überprüfe LogTotal-Ergebnisse auf Zugriffsdaten (T1003), PowerShell-Ausführung (T1059.001) und geplante Aufgaben (T1053.005), bevor ein Neuabbild erstellt wird.

Übernahme von Cloud-Konten. Nach einem unbekannten ConsoleLogin ziehen Sie 72 Stunden CloudTrail und Entra ID-Anmeldungen und suchen nach neuen Zugangsschlüsseln, MFA-Änderungen und IAM-Richtlinien-Änderungen.

Externe IR-Beibehaltungsabrechnungen und Anbieter-Supportcenter. Reinigen Sie die Beweise mit einem Schlüssel, den Sie behalten. Die dritte Partei gruppiert Hosts und Benutzer weiterhin nach Token, und Sie ordnen Tokens intern zurück.

Erkennungstechnik. Spielen Sie Atomic Red Team oder Caldera-Logs erneut ab, um zu bestätigen, welche Regeln feuern, und bereinigen Sie dann die Fixtures, bevor sie Git oder CI-Artefakte erreichen.

Datenschutz-Bewertungen. Keyed pseudonymization ist eine dokumentierbare technische Maßnahme nach Artikel 32 der DSGVO: was ersetzt wurde, wie Tokens generiert wurden, wer den Schlüssel hält.

Wie man eine Log-Analyse durchführt: Finde und exportiere Logs nach Plattform

Jeder der folgenden Abläufe endet in einem Format, das LogTotal nativ liest: EVTX, CEF, JSON/NDJSON oder syslog. Fixiere zuerst das UTC-Zeitfenster und den Umfang, und hashe jeden Export (Get-FileHash oder sha256sum) für die Beweiskette.

Windows (EVTX). Erfordert eine erweiterte Shell als lokaler Administrator. Live .evtx Dateien unter %SystemRoot%System32winevtLogs sind durch den Ereignisprotokolldienst gesperrt, daher exportiere sie mit wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl „Microsoft-Windows-Sysmon/Operational“ C:IRSysmon.evtx

Füge /q:“*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]“ hinzu, um den Export auf 24 Stunden zu begrenzen. GUI-Pfad: eventvwr.msc → Windows Logs → Security → Alle Ereignisse speichern als…

Linux (syslog oder NDJSON). Erfordert root oder Mitgliedschaft in adm / systemd-journal. Kopiere /var/log/auth.log (Debian/Ubuntu) oder /var/log/secure (RHEL). Für journald:

sudo journalctl –since „2026-10-20“ –until „2026-10-21“ –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Erfordert cloudtrail:LookupEvents. CloudTrail → Ereignisverlauf → Ereignisse herunterladen → JSON herunterladen deckt 90 Tage Managementereignisse ab. Aus einem Trail-Bucket (s3:GetObject, kms:Decrypt), flachere die Aufzeichnungen in NDJSON:

zcat ./ct/*.json.gz | jq -c ‚.Records[]‘ > cloudtrail.ndjson

Microsoft Entra ID und Microsoft 365 (JSON). Entra Admin Center → Identität → Überwachung & Gesundheit → Anmeldeprotokolle → Herunterladen → JSON (Berichtsleserrolle). Für Purview-Audit-Daten, überspringen Sie den CSV-Export und ziehen das JSON direkt (Audit-Protokollrolle):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Netzwerkgeräte (CEF). Schalten Sie das Gerät auf CEF (auf FortiGate: config log syslogd setting → set format cef) und exportieren Sie Zeilen, die CEF:0| aus dem Syslog-Sammler enthalten.

SOC Prime Angebote für Log-Analyse

• Threat Detection Marketplace: Über 1.000.000 Sigma-eigene Erkennungsregeln, übersetzt in SIEM-, EDR- und Datenseesprachen und mit ATT&CK markiert.
• Prime Hunt: Durchsucht historische SIEM-, EDR- und Datenseedaten mit relevanten Regeln und schließt Angriffsketten aus den Ergebnissen.
• Prime Detect: Führt Sigma-Regeln auf Streaming-Ereignissen vor dem SIEM aus und korreliert sie in Echtzeit zu Angriffsketten.
• Uncoder.IO: Übersetzt Sigma- und Roota-Regeln in native Abfragen.
• LogTotal: Kostenlose, ohne Registrierung Analyse exportierter Log-Dateien mit Browser-Sanitisierung.
• logtotal-sanitizer: Die Apache 2.0-Engine hinter LogTotal, als Node.js-Bibliothek und CLI für den On-Premise- oder Air-Gap-Einsatz.

LogTotal deckt den Fall ab, um den es in diesem Leitfaden geht: eine Datei von einer Quelle außerhalb Ihres SIEM oder eine, die Sie nicht im Rohformat teilen können. Jede Analyse läuft auf einer Einweg- und dedizierten Instanz der SOC Prime DetectFlow-Engine und wird danach gelöscht.

Wie Log-Analyse mit LogTotal funktioniert

LogTotal ist kostenlos, benötigt kein Konto und bereinigt Dateien in Ihrem Browser, bevor irgendetwas hochgeladen wird. SOC Prime behält Protokolle nach der Analyse nicht und trainiert nicht mit ihnen.

1. Öffnen logtotal.com in einem aktuellen Chromium-, Firefox- oder Safari-Build.
2. Laden Sie den Export. Ziehen Sie die .evtx, .log, .json oder .ndjson-Datei. Das Format wird automatisch erkannt.
3. Überprüfen Sie die Bereinigung. Geheimnisse, Cookies, Zahlungs-IDs, IPs, Hostnamen, Benutzernamen und Heimverzeichnispfade werden zu keyed HMAC-SHA-256-Tokens wie <USER:…> oder <IP:…>. Identische Werte erhalten identische Tokens, sodass zehn gesprühte Konten immer noch wie zehn Benutzer aussehen.
4. Laden Sie die bereinigte Kopie für Ihre Fallakte herunter. Es ist genau das, was analysiert wurde.
5. Führen Sie die Analyse durch. Ereignisse werden gegen ungefähr 1.000.000 Erkennungsregeln und 13.000 Etiketten geprüft, dann mit höherrangigen Sigma-Regeln und handelnder KI korreliert. SOC Prime gibt bis zu 1,7 Millionen Ereignisse in weniger als einer Minute an.
6. Lesen Sie die Ergebnisse. Erkennungen werden an ATT&CK zugeordnet, in Angriffsketten gruppiert und von KI erklärt. Ein Token, das sowohl in Erkennungen für Zugangsdaten als auch seitliche Bewegungen auftaucht, ist Ihr Konto, das zurückgesetzt werden muss.

Für mehrere Hosts oder wenn Browser-Uploads nicht erlaubt sind, reinigen Sie lokal mit dem quelloffenen CLI (Node.js 20+) und verwenden Sie denselben Schlüssel, sodass Tokens über Dateien hinweg übereinstimmen:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key „$KEY“