Analyse des journaux avec LogTotal

Qu’est-ce que l’analyse des journaux ?

L’analyse des journaux consiste à collecter, analyser, normaliser et interroger des enregistrements d’événements générés par des machines afin de répondre à une question opérationnelle ou de sécurité. Dans un SOC, cette question est généralement étroite : ce compte s’est-il authentifié depuis une source inattendue, cet hôte a-t-il généré un processus enfant inhabituel, quelles appels API ont précédé le transfert de données.

La matière première est hétérogène : canaux de sécurité et Sysmon de Windows dans des fichiers .evtx, sortie auth.log et journald de Linux, événements de pare-feu et de proxy en CEF, et pistes d’audit cloud telles qu’AWS CloudTrail ou les journaux de connexion Microsoft Entra ID exportés en JSON.

Un pipeline fonctionnel d’analyse des journaux comporte quatre étapes :

1. Collecte. Exporter les événements depuis la source sans perdre de champs ou de horodatages.
2. Normalisation. Mappez src_ip, IpAddress et sourceIPAddress vers un schéma commun.
3. Détection. Exécuter des règles Sigma ou du fournisseur et étiqueter chaque détection avec des techniques MITRE ATT&CK.
4. Corrélation. Grouper les détections liées dans une chronologie ou une chaîne d’attaque qu’un analyste peut valider.

Pourquoi l’analyse des journaux est importante pour la détection et la réponse

Les journaux sont souvent le seul enregistrement qui survit à une intrusion. La télémétrie EDR s’épuise, la mémoire est perdue au redémarrage et la capture de paquets est rarement en cours lorsque vous en avez besoin. Les identifiants d’événements Windows 4624, 4672 et 4688, ou les appels CloudTrail tels que ConsoleLogin et CreateAccessKey, sont généralement les preuves principales pour délimiter un incident.

Trois pressions font de l’analyse des journaux une compétence clé du SOC plutôt qu’une fonctionnalité de SIEM :

• Volume. Un seul incident peut produire des millions d’événements, et grep ne trouve que ce que vous savez déjà chercher.
• Lacunes de couverture. Les ordinateurs portables des sous-traitants, les segments OT et les locataires SaaS non connectés au SIEM ont encore besoin d’analyse de leurs journaux.
• Gestion des données. Les journaux contiennent des noms d’utilisateur, hôtes, IP, cookies de session et jetons porteurs. En vertu du RGPD, une grande partie de cela est des données personnelles, et un jeton divulgué est un chemin d’accès en direct.

Chaque journal attaché à un ticket fournisseur ou collé dans un chat AI élargit le cercle des personnes et juridictions pouvant lire les valeurs originales. Une bonne analyse des journaux répond rapidement à la question sans créer un incident secondaire.

Bref historique de l’analyse des journaux

Syslog, écrit par Eric Allman pour Sendmail au début des années 1980, a ensuite été normalisé dans le RFC 3164 (2001) et le RFC 5424 (2009). Pendant deux décennies, l’analyse des journaux signifiait grep et awk sur un serveur syslog central.

Windows est passé au structuré. Windows Vista a remplacé le format .evt hérité par le format .evtx basé sur XML et le modèle de canal encore utilisé aujourd’hui, et Sysmon (2014) a ajouté une télémétrie de processus et de réseau haute fidélité.

Le milieu des années 2000 a apporté le SIEM. ArcSight, QRadar, et plus tard Splunk ont fait du référencement centralisé et de la corrélation une catégorie de produit, et le CEF d’ArcSight est encore émis par la plupart des appareils réseau. Les années 2010 ont ajouté des piles ouvertes telles que ELK et des pistes d’audit cloud telles que CloudTrail (2013).

En 2017, Sigma a donné aux défenseurs un format de règle neutre vis-à-vis des fournisseurs. La même année, SOC Prime a commencé à étiqueter les règles Sigma avec des techniques MITRE ATT&CK et a appliqué l’approche à l’enquête publique NotPetya. Le mappage ATT&CK est depuis devenu une attente par défaut pour le contenu de détection.

Où se dirige l’analyse des journaux

La détection se déplace en amont. Les équipes exécutent des règles Sigma sur les événements en streaming dans le pipeline avant que les données n’atteignent le SIEM, réduisant ainsi le coût de stockage et diminuant le temps moyen de détection de quelques heures à quelques minutes.

La corrélation bat les alertes uniques. Les correspondances de faible fidélité isolées sont du bruit. Une logique de plus haut niveau qui relie les techniques à travers les hôtes et les fenêtres de temps en chaînes d’attaque donne aux analystes quelque chose à confirmer ou à clore.

L’IA de triage rencontre les limites de gestion des données. Les LLM expliquent bien les arbres de processus et résument les chronologies, mais l’envoi de télémétrie brute à un fournisseur de modèle soulève des questions de confidentialité et contractuelles, et les modèles de pointe peuvent refuser le contenu de sécurité en bloc. Pendant l’intervention de juillet 2026 sur HuggingFace, une tentative d’envoi d’environ 17 000 événements aux modèles de pointe a été bloquée par des garde-fous.

La pseudonymisation devient une étape du pipeline. Le masquage statique détruit la corrélation, et les hachages simples peuvent être inversés par conjecture sur le dictionnaire. Les jetons HMAC avec clé préservent les relations tout en supprimant les valeurs. Attendez-vous à cette étape devant chaque destination externe : services AI, support fournisseur, MSSP, et bassins de données partagés.

Avantages de l’analyse des journaux

• Démarcation plus rapide pour les intervenants en cas d’incident. Une chronologie corrélée répond à « quels hôtes, quels comptes, depuis quand » en quelques minutes, ce qui accélère le confinement et réduit le temps d’intrusion.
• Détections validées pour les ingénieurs. Rejouer des journaux contre la logique des règles montre quelles règles Sigma se déclenchent, lesquelles sont bruyantes, et quelles techniques ATT&CK ne sont pas couvertes.
• Preuves de conformité. L’exigence 10 du PCI DSS, le contrôle A.8.15 de l’ISO/IEC 27001, et la NIS2 attendent tous que les événements de sécurité soient consignés et examinés.
• Cause première pour les administrateurs. La sortie journalctl qui explique un service échoué révèle souvent une mauvaise configuration qu’un attaquant pourrait exploiter.
• Réduction des coûts SIEM. Vous pouvez analyser une source de courte durée une fois sans la mettre en service.
• Collaboration plus sûre. Les journaux pseudonymisés permettent à un intervenant, un MSSP ou un TAC de clusteriser les hôtes et utilisateurs sans voir les identités réelles.

Cas d’utilisation de l’analyse des journaux

Triage d’hôte non géré. Un ordinateur portable d’entrepreneur sans EDR est suspecté de compromission. Exportez les journaux de sécurité, Sysmon, et PowerShell et vérifiez les résultats de LogTotal pour l’accès aux identifiants (T1003), l’exécution PowerShell (T1059.001), et les tâches planifiées (T1053.005) avant de réimaginer.

Prise de contrôle de compte cloud. Après une ConsoleLogin inconnue, récupérez 72 heures de CloudTrail et de connexions Entra ID et recherchez des nouvelles clés d’accès, des changements de MFA, et des modifications de politiques IAM.

Intervenants externes IR et TAC du fournisseur. Épurez les preuves avec une clé que vous gardez. Le tiers regroupe toujours les hôtes et utilisateurs par jeton, et vous les associez aux jetons en interne.

Ingénierie de la détection. Rejouez les journaux Atomic Red Team ou Caldera pour confirmer quelles règles se déclenchent, puis épurez les fixtures avant qu’elles n’atteignent Git ou les artefacts CI.

Examens de confidentialité. La pseudonymisation au moyen de clés est une mesure technique documentable sous l’article 32 du RGPD : ce qui a été remplacé, comment les jetons ont été générés, qui détient la clé.

Comment effectuer une analyse de journaux : localiser et exporter les journaux par plateforme

Chaque procédure ci-dessous se termine dans un format lu nativement par LogTotal : EVTX, CEF, JSON/NDJSON, ou syslog. Fixez d’abord la fenêtre temporelle UTC et la portée, puis hachez chaque export (Get-FileHash ou sha256sum) pour la chaîne de traçabilité.

Windows (EVTX). Nécessite un shell avec des droits administratifs locaux. Les fichiers en direct .evtx sous %SystemRoot%System32winevtLogs sont verrouillés par le service de journalisation des événements, donc exportez-les avec wevtutil :

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl « Microsoft-Windows-Sysmon/Operational » C:IRSysmon.evtx

Ajoutez /q: »*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]] » pour limiter l’exportation à 24 heures. Chemin d’accès GUI : eventvwr.msc → Journaux Windows → Sécurité → Enregistrer tous les événements sous…

Linux (syslog ou NDJSON). Nécessite le root ou l’appartenance à adm / systemd-journal. Copiez /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL). Pour journald :

sudo journalctl –since « 2026-10-20 » –until « 2026-10-21 » –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Nécessite cloudtrail:LookupEvents. CloudTrail → Historique des événements → Télécharger les événements → Télécharger JSON couvre 90 jours d’événements de gestion. Depuis un bucket de piste (s3:GetObject, kms:Decrypt), aplatissez les enregistrements en NDJSON :

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID et Microsoft 365 (JSON). Centre d’administration Entra → Identité → Surveillance & santé → Journaux de connexion → Téléchargement → JSON (Rôle de lecture des rapports). Pour les données d’audit Purview, évitez l’exportation CSV et tirez directement le JSON (Rôle des journaux d’audit) :

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Appareils réseau (CEF). Passez l’appareil à CEF (sur FortiGate : config log syslogd setting → set format cef) et exportez les lignes contenant CEF:0| depuis le collecteur syslog.

Offres SOC Prime pour l’analyse des journaux

• Marché de la détection des menaces: plus de 1 000 000 de règles de détection natives Sigma, traduites dans les langues SIEM, EDR et data lake et étiquetées avec ATT&CK.
• Prime Hunt: scanne les données historiques SIEM, EDR, et de data lake avec des règles pertinentes et infère des chaînes d’attaque à partir des résultats.
• Prime Detect: exécute des règles Sigma sur des événements en streaming avant le SIEM et les corrèle en chaînes d’attaque en temps réel.
• Uncoder.IO: traduit les règles Sigma et Roota en requêtes natives.
• LogTotal: analyse gratuite sans inscription des fichiers journaux exportés avec une épuration dans le navigateur.
• logtotal-sanitizer: le moteur Apache 2.0 derrière LogTotal, en tant que bibliothèque Node.js et CLI pour une utilisation sur site ou isolée.

LogTotal couvre le cas dont traite ce guide : un fichier provenant d’une source externe à votre SIEM, ou que vous ne pouvez pas partager brut. Chaque analyse s’exécute sur une instance jetable, dédiée du moteur DetectFlow de SOC Prime et est supprimée par la suite.

Comment fonctionne l’analyse des journaux avec LogTotal

LogTotal est gratuit, ne nécessite aucun compte et épure vos fichiers dans votre navigateur avant tout téléchargement. SOC Prime ne conserve pas les journaux après analyse ni ne s’entraîne avec eux.

1. Ouvrir logtotal.com dans une version actuelle de Chromium, Firefox, ou Safari.
2. Chargez l’exportation. Déposez le fichier .evtx, .log, .json, ou .ndjson. Le format est détecté automatiquement.
3. Révisez l’épuration. Les secrets, cookies, identifiants de paiement, IP, noms d’hôtes, noms d’utilisateur et chemins de répertoires personnels deviennent des jetons HMAC-SHA-256 avec clé telles que <USER:…> ou <IP:…>. Les valeurs identiques obtiennent des jetons identiques, donc dix comptes pulvérisés ressemblent toujours à dix utilisateurs.
4. Téléchargez la copie épurée pour votre dossier de cas. Il s’agit exactement de ce qui a été analysé.
5. Exécutez l’analyse. Les événements sont vérifiés contre environ 1 000 000 de règles de détection et 13,000 étiquettes, puis corrélés avec des règles Sigma de plus haut niveau et une IA agentique. SOC Prime cite jusqu’à 1,7 million d’événements en moins d’une minute.
6. Lisez les résultats. Les détections sont mappées à ATT&CK, regroupées en chaînes d’attaque, et expliquées par l’IA. Un jeton apparaissant à la fois dans les détections d’accès aux identifiants et de mouvements latéraux est votre compte à réinitialiser.

Pour plusieurs hôtes, ou lorsque les téléchargements de navigateur sont interdits, épurez localement avec la CLI open-source (Node.js 20+) et réutilisez une clé pour que les jetons correspondent sur tous les fichiers :

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key « $KEY »