Seguir LogTotal acepta tres tipos de archivos: registros de eventos de Windows en EVTX, JSON (un evento por línea funciona mejor) y texto estilo syslog. Las subidas de textos y JSON pasan por el paso de sanitización antes del análisis; los archivos EVTX aún no. Si tus registros están en otro formato, casi siempre hay un comando de una sola línea que los convierte. Los más comunes se enumeran a continuación.
LogTotal es el servicio gratuito de SOC Prime para ejecutar lógica de detección en un archivo de registro sin necesidad de configurar nada: subir, sanitizar, revisar. Obtener el formato correcto es la única parte que puede ser complicada, por eso esta página es la versión resumida.
Qué lee LogTotal hoy
| Formato | Fuentes típicas | ¿Sanitizado antes del análisis? | Cómo obtenerlo |
|---|---|---|---|
| EVTX | Windows Security, System, Sysmon, PowerShell, Defender, DNS Server | Aún no | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / líneas JSON | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, auditoría Kubernetes, journalctl -o json, exportaciones de API de SIEM | Sí | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Texto estilo syslog | auth.log y secure, exportaciones raw de Splunk, cargas útiles de QRadar, syslog de firewall | Sí | [sshd logs], [Splunk], [QRadar] |
| CSV | Descargas de inicio de sesión/auditoría de Entra ID, exportaciones de registros de auditoría de Microsoft 365, exportaciones de auditoría de Google Workspace, resultados de búsqueda de Splunk / Sentinel / Kibana, Visor de eventos “Guardar como CSV” | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Obteniendo JSON correctamente
Un evento por línea es la forma más segura. Muchas herramientas envuelven eventos en arreglos o envolturas. Desenlázalos antes de subirlos:
| Tienes | Desenlazar con |
|---|---|
| Un arreglo JSON (gcloud, az, muchas APIs) | jq -c ‘.[]’ in.json > out.jsonl |
| Archivos de registro de CloudTrail | jq -c ‘.Records[]’ *.json > out.jsonl |
| salida de consulta de eventos de aws cloudtrail | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| Eventos de CloudWatch Logs | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Exportación JSON REST de Splunk | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Observa la codificación en Windows. Windows PowerShell 5.1 escribe en UTF-16 cuando usas > o Out-File sin opciones. Agrega -Encoding utf8, como hace cada ejemplo de PowerShell en nuestras guías.
Mantén la zona horaria. Las marcas de tiempo ISO 8601 con Z o un desplazamiento hacen que los hallazgos se alineen con otras fuentes. Las marcas de tiempo de syslog clásico no tienen año ni zona; anota la zona horaria de la fuente cuando las subas.
Convirtiendo lo que LogTotal no lee
| Tienes | Convertir con |
|---|---|
| archivos de diario systemd (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Un archivo .logarchive de macOS | log show –archive <file> –style json > out.json (en un Mac) |
| EVTX, pero quieres el paso de sanitización | evtx_dump -o jsonl in.evtx > out.jsonl |
| Registros comprimidos en gzip | zcat -f in.log.gz > out.log |
| Una hoja de cálculo o exportación XML desde la interfaz web de un SIEM | Re-exportar a través de la API o CLI de la plataforma; ver |
Tamaño
split -l 200000 big.jsonl part_
Para EVTX, filtra mientras exportas con wevtutil /q
FAQ
¿LogTotal guarda mis archivos?
No. Las subidas son analizadas y no se retienen.
¿Se admitirán más formatos?
Sí. Añadimos formatos regularmente, y esta página siempre enumera lo que funciona hoy.
