Folgen SOC Prime’s LogTotal unterstützt jetzt Log-Exporte von vier großen SIEM- und EDR-Plattformen: Google SecOps, CrowdStrike Falcon LogScale / Next-Gen SIEM, Microsoft Defender for Endpoint (MDE) und Microsoft Sentinel. Jede Plattform verwendet ihre eigenen Dateiformate, Feldnamen und Datenmodelle. LogTotal verarbeitet diese Unterschiede automatisch, sodass Sicherheitsteams Exporte so hochladen können, wie sie sind, und die gleiche Tiefe der Analyse von jeder Quelle erhalten. Unterstützung für Splunk, IBM QRadar und OpenSearch/Elasticsearch kommt als nächstes.
Neuigkeiten: vier Plattformen, ein Analysator
Die neu unterstützten Plattformen bringen jeweils ein unterschiedliches Datenmodell und verschiedene Exportoptionen mit sich:
| Plattform | Datenmodell | Vom Anbieter dokumentierte Exporte |
| Google SecOps | Vereinheitlichtes Datenmodell (UDM), erzeugt durch Parser, die rohe Logs normalisieren | Erkennungsereignisse als CSV, bis zu 100.000 Ereignisse |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | Native Falcon-Sensorfeldnamen; Drittanbieterdaten werden zum CrowdStrike Parsing Standard (CPS)basierend auf ECS geparst | CSV, JSON und Klartext |
| Microsoft Defender for Endpoint | Fortgeschrittenes Jagdschema, mit Tabellen wie DeviceProcessEvents | Ergebnisse der fortgeschrittenen Jagd als Excel-Arbeitsmappe; CSV aus dem geführten Modus |
| Microsoft Sentinel | Log Analytics-Tabellen, die mit KQL abgefragt werden; optionale ASIM-Normalisierung | Abfrageergebnisse als CSV aus dem Logs-Fenster |
Es sind keine Konvertierungsskripte, Feldumbenennungen oder benutzerdefinierte Parser erforderlich.
Gleiches Ereignis, vier verschiedene Beschreibungen
Jede Plattform erfasst dieselbe Aktivität auf ihre eigene Weise. Ein einzelner Prozessstart trägt unterschiedliche Feldnamen, je nachdem, von wo er exportiert wurde:
| Was eine Erkennung sucht | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Befehlszeile des neuen Prozesses | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Neues Prozessabbild | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Übergeordneter oder initiierender Prozess | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Die Unterschiede gehen über die Namen hinaus:
- Unterschiedliche Namen für dasselbe Feld. Ein Konzept, wie eine Befehlszeile, trägt auf jeder Plattform einen anderen Namen.
- Unterschiedliche Struktur. UDM verschachtelt Felder unter principal und target, während MDE und Falcon flache Spaltennamen verwenden. Einige Werte sind über Felder verteilt, wie MDE’s FolderPath und FileName.
- Unterschiedliche Benennung innerhalb einer Plattform. Next-Gen SIEM behält native Falcon-Namen für Sensortelemetrie bei und verwendet ECS-basierte CPS-Namen für Drittanbieterdaten. Beide können in einem einzigen Export erscheinen.
Normalerweise überbrücken Analysten diese Lücken von Hand, bevor eine einzige Regel ausgeführt werden kann. Mit LogTotal sind diese Unterschiede nicht ihr Problem.
Wie LogTotal Dateiformate behandelt
LogTotal erkennt das Dateiformat für Sie. SOC Prime dokumentiert die automatische Erkennung von EVTX, CEF, JSON und Syslog, ohne manuelle Konvertierung. LogTotal akzeptiert hochgeladene oder eingefügte .log, .json, .jsonl, .evtx und .txt Dateien von bis zu 3 GB oder 3.000.000 Ereignissen und verarbeitet bis zu 1,7 Millionen Ereignisse in weniger als einer Minute.
Die hier abgedeckten Plattformen unterscheiden sich am meisten darin, wie sie Aufzeichnungen verpacken:
- Einzelnes JSON-Array. LogScale’s JSON-Export verpackt alle Ereignisse in einem Array. LogTotal liest jedes Element als separates Ereignis.
- CSV-Exporte. Google SecOps, MDE erweiterte Jagd und Sentinel Logs exportieren Abfrageergebnisse als CSV-Dateien, wobei jeder Spaltenkopf nach einem Feld im Schema dieser Plattform benannt ist.
Sie müssen verschachteltes JSON nicht entfalten, Spalten umbenennen oder Felder vor dem Hochladen neu anordnen. Die Bereinigung erfolgt dann lokal in Ihrem Browser auf den geparsten Ereignissen, sodass dieselben Identifikatoren konsistent tokenisiert werden, unabhängig davon, in welchem Format sie eingetroffen sind.
Wie LogTotal Feldnamen und Zuordnungen handhabt
LogTotal ordnet die Feldnamen jeder Plattform den Feldern zu, die von seiner Erkennungslogik erwartet werden, damit eine Regel korrekt gegen alle vier Schemata bewertet wird. Benutzer müssen keine Zuordnungen pflegen, Parser schreiben oder ein Schema wählen.
Dies baut auf der Zuordnungsarbeit auf, die SOC Prime bereits für seine Erkennungsinhalte leistet. SOC Primes Plattform-Support-Matrix listet Regeln für Google SecOps auf, die gegen das UDM-Datenschema geschrieben sind, und Kusto-Abfragen für MDE und Sentinel, die gegen ihre Standard-Schemata geschrieben sind. LogTotal wendet dasselbe Wissen auf exportierte Dateien an.
Nach der Zuordnung durchlaufen Ereignisse von allen vier Plattformen denselben Prozess: etwa 1.000.000 Erkennungsregeln und 13.000 Bedrohungskennzeichen, die mit höheren Ordner-Sigma-Regeln und agentenbasierter KI zu Angriffsabläufen korreliert werden, die nach MITRE ATT&CK abgebildet sind.
Was das für Sicherheitsteams bedeutet
Format- und Schemadifferenzen sind das Problem von LogTotal, nicht Ihres. In der Praxis:
- Exportieren Sie so, wie Sie es bereits tun. Verwenden Sie den Standardexport Ihrer Plattform und laden Sie die Datei so hoch, wie sie ist.
- Mischen Sie Quellen in einer Untersuchung. Logs von verschiedenen Plattformen werden mit denselben Regeln und Korrelationen analysiert, sodass die Ergebnisse vergleichbar sind.
- Halten Sie Ihre Identifikatoren privat. Die Bereinigung ersetzt Hostnamen, IPs, Benutzernamen und Geheimnisse durch stabile HMAC-Token vor dem Hochladen. Sie behalten den Schlüssel und können Token intern zurückmappen.
- Erhalten Sie die gleiche Tiefe auf jeder Plattform. Die Regelabdeckung hängt nicht davon ab, welches SIEM oder EDR die Datei erzeugt hat.
Für beste Ergebnisse exportieren Sie die Felder, die Erkennungswert tragen, wie Prozess, Befehlszeile, übergeordneter Prozess, Benutzer, Host und Netzwerkdetails, anstatt eine reduzierte Zusammenfassungsansicht. Wenn eine Plattform beides bietet, bevorzugen Sie den vollständigen Ereignisexport gegenüber einem Spaltenunterset.
Geplant für die nahe Zukunft
Unterstützung für Exporte von Splunk, IBM QRadarund OpenSearch/Elasticsearch ist geplant. Diese Plattformen bringen ihre eigenen Konventionen mit, wie die ECS-Feldnamen von Elastic. Die Erfahrung wird gleich bleiben: exportieren, hochladen und LogTotal die Formate und Feldzuordnungen überlassen.
