Folgen LogTotal akzeptiert drei Arten von Dateien: Windows-Ereignisprotokolle im EVTX-Format, JSON (eine Veranstaltung pro Zeile funktioniert am besten) und Syslog-Style-Text. Text- und JSON-Uploads durchlaufen vor der Analyse den Bereinigungsschritt; EVTX-Dateien noch nicht. Wenn Ihre Protokolle in einem anderen Format vorliegen, gibt es fast immer einen Einzeilenbefehl, der sie umwandelt. Die gängigen sind unten aufgeführt.
LogTotal ist ein kostenloser Dienst von SOC Prime, um Erkennungslogik gegen eine Protokolldatei auszuführen, ohne etwas einrichten zu müssen: hochladen, bereinigen, überprüfen. Das richtige Format zu finden, ist der einzige Teil, der Sie stolpern lassen kann, also ist diese Seite die Kurzversion.
Was LogTotal heute liest
| Format | Typische Quellen | Vor der Analyse bereinigt? | Wie man es erhält |
|---|---|---|---|
| EVTX | Windows Security, System, Sysmon, PowerShell, Defender, DNS Server | Noch nicht | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / JSON-Zeilen | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, Kubernetes-Audit, journalctl -o json, SIEM API-Exporte | Ja | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Syslog-Style-Text | auth.log und secure, Splunk-Rohexporte, QRadar-Payloads, Firewall-Syslog | Ja | [sshd logs], [Splunk], [QRadar] |
| CSV | Entra ID Anmelde-/Audit-Downloads, Microsoft 365 Audit-Protokollexporte, Google Workspace Audit-Exporte, Splunk / Sentinel / Kibana Suchergebnisse, Event Viewer „Als CSV speichern“ | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
JSON richtig machen
Ein Ereignis pro Zeile ist die sicherste Form. Viele Tools umgeben Ereignisse in Arrays oder Umschlägen. Glätten Sie sie vor dem Hochladen:
| Sie haben | Glätten mit |
|---|---|
| Ein JSON-Array (gcloud, az, viele APIs) | jq -c ‚.[]‘ in.json > out.jsonl |
| CloudTrail-Protokolldateien | jq -c ‚.Records[]‘ *.json > out.jsonl |
| aws cloudtrail lookup-events Ausgabe | jq -c ‚.Events[].CloudTrailEvent | fromjson‘ in.json > out.jsonl |
| CloudWatch Logs Events | jq -c ‚.events[].message | fromjson‘ in.json > out.jsonl |
| Splunk REST JSON-Export | jq -c ’select(.result) | .result‘ in.json > out.jsonl |
Achten Sie auf die Kodierung unter Windows. Windows PowerShell 5.1 schreibt UTF-16, wenn Sie > oder Out-File ohne Optionen verwenden. Fügen Sie -Encoding utf8 hinzu, wie es jedes PowerShell-Beispiel in unseren Anleitungen tut.
Behalten Sie die Zeitzone bei. ISO 8601 Zeitstempel mit Z oder einem Offset sorgen dafür, dass Ergebnisse mit anderen Quellen übereinstimmen. Klassische Syslog-Zeitstempel haben kein Jahr und keine Zone; notieren Sie die Zeitzone der Quelle, wenn Sie diese hochladen.
Konvertierung dessen, was LogTotal nicht liest
| Sie haben | Konvertieren mit |
|---|---|
| systemd Journal-Dateien (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Ein macOS .logarchive | log show –archive <file> –style json > out.json (auf einem Mac) |
| EVTX, aber Sie möchten den Bereinigungsschritt | evtx_dump -o jsonl in.evtx > out.jsonl |
| Gezippte Protokolle | zcat -f in.log.gz > out.log |
| Ein Tabellenkalkulations- oder XML-Export aus der Weboberfläche eines SIEMs | Re-exportieren Sie über die API oder CLI der Plattform; siehe |
Größe
split -l 200000 big.jsonl part_
Für EVTX filtern Sie beim Exportieren mit wevtutil /q
FAQ
Behalten LogTotal meine Dateien?
Nein. Uploads werden analysiert und nicht gespeichert.
Werden mehr Formate unterstützt?
Ja. Wir fügen regelmäßig Formate hinzu, und diese Seite listet immer auf, was heute funktioniert.
