Analítica de Logs con LogTotal

¿Qué es el Análisis de Logs?

El análisis de logs es la práctica de recolectar, analizar, normalizar y consultar registros de eventos generados por máquinas para responder a una pregunta operativa o de seguridad. En un SOC, esa pregunta suele ser específica: ¿se autenticó esta cuenta desde una fuente inesperada?; ¿este anfitrión generó un proceso hijo inusual?; ¿qué llamadas de API precedieron a la transferencia de datos?

El material bruto es heterogéneo: canales de Seguridad de Windows y Sysmon en archivos .evtx, el archivo auth.log y la salida de journald de Linux, eventos de firewall y proxy en CEF, y huellas de auditoría en la nube como AWS CloudTrail o registros de inicio de sesión de Microsoft Entra ID exportados como JSON.

Una canalización de análisis de logs funcional tiene cuatro etapas:

1. Recolección. Exportar eventos desde la fuente sin perder campos o marcas de tiempo.
2. Normalización. Mapear src_ip, IpAddress y sourceIPAddress a un esquema común.
3. Detección. Ejecutar reglas Sigma o de proveedores y etiquetar cada coincidencia con técnicas de MITRE ATT&CK.
4. Correlación. Agrupar coincidencias relacionadas en una línea de tiempo o cadena de ataque que un analista pueda validar.

Comience Gratis

Por qué el Análisis de Logs es Importante para la Detección y Respuesta

Los logs son a menudo el único registro que sobrevive a una intrusión. La telemetría de EDR se sobrescribe, la memoria se pierde al reiniciar y la captura de paquetes rara vez está activa cuando se necesita. Los ID de evento de Windows 4624, 4672 y 4688, o las llamadas de CloudTrail como ConsoleLogin y CreateAccessKey, son típicamente la evidencia principal para delimitar un incidente.

Tres presiones hacen que el análisis de logs sea una habilidad principal del SOC en lugar de una función de SIEM:

• Volumen. Un solo incidente puede producir millones de eventos, y grep solo encuentra lo que ya sabes buscar.
• Lagos de cobertura. Portátiles de contratistas, segmentos OT y inquilinos SaaS que nadie conectó no están en el SIEM, pero sus logs todavía necesitan análisis.
• Manejo de datos. Los logs contienen nombres de usuario, nombres de host, IPs, cookies de sesión y tokens de seguridad. Bajo GDPR, gran parte de eso es datos personales, y un token filtrado es una vía de acceso activa.

Cada log adjunto a un ticket de proveedor o pegado en un chat de AI amplía el círculo de personas y jurisdicciones que pueden leer los valores originales. Un buen análisis de logs responde a la pregunta rápidamente sin crear un segundo incidente.

Un Breve Historial del Análisis de Logs

Syslog, escrito por Eric Allman para Sendmail a principios de la década de 1980, fue posteriormente estandarizado en RFC 3164 (2001) y RFC 5424 (2009). Durante dos décadas, el análisis de logs significó grep y awk en un servidor syslog central.

Windows se hizo estructurado. Windows Vista reemplazó el formato heredado .evt con el formato basado en XML .evtx y el modelo de canales todavía utilizado hoy, y Sysmon (2014) agregó telemetría de proceso y red de alta fidelidad.

A mediados de la década de 2000 surgieron los SIEM. ArcSight, QRadar, y más tarde Splunk hicieron de la búsqueda y correlación centralizadas una categoría de producto, y el CEF de ArcSight todavía es emitido por la mayoría de los dispositivos de red. La década de 2010 añadió stacks abiertos como ELK y huellas de auditoría en la nube como CloudTrail (2013).

En 2017, Sigma proporcionó a los defensores un formato de reglas independiente de proveedores. Ese mismo año, SOC Prime comenzó a etiquetar reglas Sigma con técnicas de MITRE ATT&CK y aplicó el enfoque a la investigación pública de NotPetya. La mapeo de ATT&CK desde entonces se ha convertido en una expectativa predeterminada para el contenido de detección.

Hacia dónde se Dirige el Análisis de Logs

La detección se mueve aguas arriba. Los equipos ejecutan reglas Sigma en eventos de transmisión en la canalización antes de que los datos lleguen al SIEM, reduciendo el costo de almacenamiento y acortando el tiempo medio de detección de horas a minutos.

La correlación supera las alertas individuales. Las coincidencias aisladas de baja fidelidad son ruido. La lógica de orden superior que vincula técnicas a través de hosts y ventanas de tiempo en cadenas de ataque proporciona a los analistas algo que confirmar o cerrar.

El triaje de AI enfrenta límites de manejo de datos. Los LLMs explican bien los árboles de procesos y resumen líneas de tiempo, pero enviar telemetría bruta a un proveedor de modelos plantea cuestiones de privacidad y contractuales, y los modelos de frontera pueden rechazar contenido de seguridad por completo. Durante la respuesta al incidente de HuggingFace en julio de 2026, un intento de enviar alrededor de 17,000 eventos a modelos de frontera fue bloqueado por los guardrails.

La seudonimización se convierte en una etapa de la canalización. El enmascaramiento estático destruye la correlación y los hashes simples pueden revertirse mediante la adivinación de diccionario. Los tokens HMAC con clave mantienen las relaciones intactas mientras eliminan los valores. Espere este paso delante de cada destino externo: servicios de AI, soporte de proveedores, MSSP y lagos de datos compartidos.

Beneficios del Análisis de Logs

• Delimitación más rápida para los respondedores a incidentes. Una línea de tiempo correlacionada responde «qué hosts, qué cuentas, desde cuándo» en minutos, lo que impulsa el contención y reduce el tiempo de permanencia.
• Detecciones validadas para ingenieros. Reproducir logs contra la lógica de reglas muestra qué reglas Sigma se activan, cuáles son ruidosas, y qué técnicas ATT&CK no tienen cobertura.
• Evidencia de cumplimiento. El Requisito 10 de PCI DSS, el control A.8.15 de ISO/IEC 27001 y NIS2 esperan que los eventos de seguridad sean registrados y revisados.
• Causa raíz para administradores. La salida de journalctl que explica un servicio fallido a menudo revela una mala configuración que un atacante podría abusar.
• Menor costo de SIEM. Puede analizar una fuente de corta duración una vez sin integrarla.
• Colaboración más segura. Los logs seudonimizados permiten a un retenedor, MSSP o soporte técnico del proveedor agrupar hosts y usuarios sin ver identidades reales.

Casos de Uso del Análisis de Logs

Triaje de host no gestionado. Se sospecha que un portátil de contratista sin EDR ha sido comprometido. Exporte los registros de Seguridad, Sysmon y PowerShell, y verifique los hallazgos de LogTotal para acceso a credenciales (T1003), ejecución de PowerShell (T1059.001), y tareas programadas (T1053.005) antes de volver a imager.

Toma de cuenta en la nube. Después de un ConsoleLogin desconocido, extraiga 72 horas de CloudTrail e inicios de sesión de Entra ID y busque nuevas claves de acceso, cambios de MFA y ediciones de políticas de IAM.

Retenedores de IR externos y soporte técnico de proveedores. Sanitice la evidencia con una clave que retenga. La tercera parte todavía agrupa hosts y usuarios por token, y usted mapea los tokens internamente.

Ingeniería de detección. Repita logs de Atomic Red Team o Caldera para confirmar qué reglas se activan, luego sanitice los dispositivos antes de que lleguen a Git o artefactos de CI.

Revisiones de privacidad. La seudonimización con clave es una medida técnica documentable bajo el Artículo 32 del GDPR: qué se reemplazó, cómo se generaron los tokens, quién tiene la clave.

Cómo Realizar Análisis de Logs: Localizar y Exportar Logs por Plataforma

Cada procedimiento a continuación termina en un formato que LogTotal lee de forma nativa: EVTX, CEF, JSON/NDJSON o syslog. Establezca primero la ventana de tiempo en UTC y el alcance, y hashee cada exportación (Get-FileHash o sha256sum) para la cadena de custodia.

Windows (EVTX). Requiere un shell elevado como Administrador local. Los archivos .evtx en vivo en %SystemRoot%System32winevtLogs están bloqueados por el servicio de Registro de Eventos, así que expórtelos con wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl «Microsoft-Windows-Sysmon/Operational» C:IRSysmon.evtx

Agregue /q:»*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]" para limitar la exportación a 24 horas. Ruta GUI: eventvwr.msc → Registros de Windows → Seguridad → Guardar Todos los Eventos Como…

Linux (syslog o NDJSON). Requiere root o membresía en adm / systemd-journal. Copie /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL). Para journald:

sudo journalctl –since «2026-10-20» –until «2026-10-21» –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Requiere cloudtrail:LookupEvents. CloudTrail → Historial de eventos → Descargar eventos → Descargar JSON cubre 90 días de eventos de gestión. Desde un bucket de trail (s3:GetObject, kms:Decrypt), aplane los registros en NDJSON:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID y Microsoft 365 (JSON). Centro de administración de Entra → Identidad → Monitoreo y salud → Registros de inicio de sesión → Descargar → JSON (rol de Lector de Informes). Para datos de auditoría de Purview, omita la exportación CSV y obtenga directamente el JSON (rol de Registros de Auditoría):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Dispositivos de red (CEF). Cambie el dispositivo a CEF (en FortiGate: config log syslogd setting → set format cef) y exporte líneas que contengan CEF:0| desde el colector syslog.

Ofertas de SOC Prime para Análisis de Logs

• Threat Detection Marketplace: 1,000,000+ reglas de detección nativas de Sigma, traducidas a los lenguajes de SIEM, EDR y lagos de datos y etiquetadas con ATT&CK.
• Prime Hunt: escanea datos históricos de SIEM, EDR y lagos de datos con reglas relevantes e infiere Cadenas de Ataque de los resultados.
• Prime Detect: ejecuta reglas Sigma en eventos de transmisión antes del SIEM y los correlaciona en Cadenas de Ataque en tiempo real.
• Uncoder.IO: traduce reglas de Sigma y Roota en consultas nativas.
• LogTotal: análisis gratuito, sin registro, de archivos de logs exportados con sanitización en el navegador.
• logtotal-sanitizer: el motor Apache 2.0 detrás de LogTotal, como una biblioteca de Node.js y CLI para uso in situ o en ambientes sin conexión.

LogTotal cubre el caso que trata esta guía: un archivo de una fuente fuera de su SIEM o uno que no puede compartir en bruto. Cada análisis se ejecuta en una instancia desechable y dedicada del motor DetectFlow de SOC Prime y se elimina posteriormente.

Cómo Funciona el Análisis de Logs con LogTotal

LogTotal es gratuito, no necesita cuenta, y desinfecta archivos en su navegador antes de que se suba nada. SOC Prime no retiene logs después del análisis ni entrena con ellos.

1. Abra logtotal.com en una versión actual de Chromium, Firefox o Safari.
2. Cargue la exportación. Suelte el archivo .evtx, .log, .json o .ndjson. El formato se detecta automáticamente.
3. Revise la desinfección. Secretos, cookies, IDs de pago, IPs, nombres de host, nombres de usuario y rutas de directorios de inicio se convierten en tokens HMAC-SHA-256 con clave como <USER:…> o <IP:…>. Los valores idénticos obtienen tokens idénticos, por lo que diez cuentas esparcidas todavía se ven como diez usuarios.
4. Descargue la copia desinfectada para su archivo del caso. Es exactamente lo que se analizó.
5. Ejecute el análisis. Los eventos se verifican contra aproximadamente 1,000,000 reglas de detección y 13,000 etiquetas, luego se correlacionan con reglas Sigma de Orden Superior y AI agéntico. SOC Prime cita hasta 1.7 millones de eventos en menos de un minuto.
6. Lea los hallazgos. Las detecciones se mapean a ATT&CK, se agrupan en cadenas de ataque y son explicadas por AI. Un token que aparece tanto en hallazgos de acceso a credenciales como de movimiento lateral es su cuenta a restablecer.

Para varios hosts, o cuando las cargas desde el navegador están prohibidas, desinfecte localmente con la CLI de código abierto (Node.js 20+) y reutilice una clave para que los tokens coincidan en varios archivos:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key «$KEY»