Folgen Bevor LogTotal jegliche Erkennungslogik auf einen Klartext-, CSV- oder JSON-Upload anwendet, ersetzt es identifizierende Werte durch Platzhalter: Benutzernamen, Hostnamen, IP-Adressen und Ähnliches. Anschließend zeigt es Ihnen das Ergebnis zur Überprüfung bevor die Analyse beginnt. Hochgeladene Dateien werden nach der Analyse nicht gespeichert. EVTX-Dateien sind derzeit die Ausnahme: Sie werden wie hochgeladen analysiert, ohne den Sanitisierungsschritt.
Der Einwand gegen Online-Log-Analyse ist berechtigt. Logs sind voller interner Namen, Adressen und gelegentlich Dingen, die niemand hätte aufzeichnen sollen. Diese Seite erklärt, was LogTotal maskiert, was absichtlich unverändert bleibt und was Sie selbst noch prüfen sollten.
Was bleibt unverändert und warum
Die Erkennungslogik betrachtet das Verhalten, nicht die Namen. Um einen Passwort-Spray oder eine kodierte PowerShell-Nutzlast zu erkennen, benötigen Regeln Ereignis-IDs, Prozess- und Dateinamen, die Struktur einer Befehlszeile, Ports, Protokolle und Zeitstempel. Das Maskieren dieser Elemente würde die Analyse blenden, ohne viel zu schützen.
Gleicher Wert, gleicher Platzhalter
Maskierung funktioniert für die Untersuchung nur, wenn sie konsistent ist. Wenn aus jane.doe auf jeder Zeile user_1 wird, können Sie immer noch sehen, dass user_1 von einer Adresse aus 40 Anmeldeversuche fehlgeschlagen und dann erfolgreich war. Wenn jeder Benutzername zu einer anderen zufälligen Zeichenkette würde, würde dieses Muster verschwinden. Konsistente Platzhalter bewahren die Geschichte, während die Namen entfernt werden.
Ihr Part: Überprüfen, bevor Sie fortfahren
Automatische Maskierung erfasst die üblichen Formen. Sie kann Ihre Umgebung nicht kennen. Bevor Sie den Sanitisierungsschritt passieren, prüfen Sie auf:
- Geheimnisse in Freitextnachrichten, wie Passwörter, die in Befehlszeilen eingegeben wurden oder API-Schlüssel in Fehlermeldungen;
- Benutzerdefinierte Felder, die Namen enthalten, wie ticket_owner oder approved_by;
- Projekt- oder Kundencodenamen, die in Hostnamen oder Pfaden verborgen sind;
- Personenbezogene Daten in URLs und Abfragezeichenfolgen.
Wenn Ihnen etwas auffällt, bereinigen Sie es in der Datei, bevor Sie sie hochladen. Ein sed-Einzeiler erledigt die meisten Fälle:
sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log
EVTX: Noch nicht saniert
EVTX-Dateien werden wie hochgeladen analysiert, ohne den Sanitierschritt. Nutzen Sie EVTX-Uploads frei für Testmaschinen. Für Produktionshosts holen Sie sich zuerst die Genehmigung von der Person, die für die Datenverwaltung verantwortlich ist. Wenn Sie heute Sanitisierung benötigen, konvertieren Sie die Datei mit dem Open-Source-Tool evtx_dump in JSON-Zeilen und laden Sie diese hoch:
evtx_dump -o jsonl Security.evtx > Security.jsonl
FAQ
Macht die Sanitisierung meine Logs unter der DSGVO anonym?
Nicht unbedingt. Konsistente Platzhalter sind eine Pseudonymisierung, und pseudonymisierte Daten können unter der DSGVO weiterhin als personenbezogene Daten gelten. Das ist kein Grund, das Tool zu vermeiden, aber ein Grund, die Datenschutzvorschriften Ihrer Organisation zu befolgen. Bei Zweifel fragen Sie Ihren DSB. Dies ist keine Rechtsberatung.
