Suivre LogTotal accepte trois types de fichiers : les journaux d’événements Windows au format EVTX, JSON (un événement par ligne fonctionne mieux) et le texte de style syslog. Les téléchargements de texte et JSON passent par l’étape de nettoyage avant l’analyse ; les fichiers EVTX non. Si vos journaux ont une autre forme, il y a presque toujours une commande en une ligne qui les convertit. Les commandes courantes sont listées ci-dessous.
LogTotal est le service gratuit de SOC Prime pour exécuter une logique de détection sur un fichier journal sans rien configurer: téléchargez, nettoyez, examinez. Obtenir le bon format est la seule partie qui peut vous empêcher de réussir, donc cette page est la version courte.
Ce que lit LogTotal aujourd’hui
| Format | Sources typiques | Nettoyé avant analyse ? | Comment l’obtenir |
|---|---|---|---|
| EVTX | Sécurité Windows, Système, Sysmon, PowerShell, Defender, Serveur DNS | Pas encore | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / lignes JSON | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, audit Kubernetes, journalctl -o json, exportations API SIEM | Oui | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Texte de style syslog | auth.log et secure, exportations brutes Splunk, charges utiles QRadar, syslog de pare-feu | Oui | [sshd logs], [Splunk], [QRadar] |
| CSV | Téléchargements de connexion/audit Entra ID, exportations de journaux d’audit Microsoft 365, exportations d’audits Google Workspace, résultats de recherche Splunk / Sentinel / Kibana, « Enregistrer sous CSV » de l’Observateur d’événements | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Bien formater le JSON
Un événement par ligne est la forme la plus sûre. De nombreux outils enveloppent les événements dans des tableaux ou des enveloppes. Aplatissez-les avant de télécharger :
| Vous avez | Aplatissez avec |
|---|---|
| Un tableau JSON (gcloud, az, de nombreuses API) | jq -c ‘.[]’ dans.json > sortant.jsonl |
| Fichiers de journal CloudTrail | jq -c ‘.Records[]’ *.json > sortant.jsonl |
| sortie aws cloudtrail lookup-events | jq -c ‘.Events[].CloudTrailEvent | fromjson’ dans.json > sortant.jsonl |
| Événements de journaux CloudWatch | jq -c ‘.events[].message | fromjson’ dans.json > sortant.jsonl |
| Exportation JSON REST Splunk | jq -c ‘select(.result) | .result’ dans.json > sortant.jsonl |
Surveillez l’encodage sur Windows. Windows PowerShell 5.1 écrit en UTF-16 lorsque vous utilisez > ou Out-File sans options. Ajoutez -Encoding utf8, comme dans chaque exemple de PowerShell de nos guides.
Gardez le fuseau horaire. Les horodatages ISO 8601 avec Z ou un décalage permettent aux découvertes de s’aligner avec d’autres sources. Les horodatages syslog classiques n’ont ni année ni zone ; notez le fuseau horaire de la source lorsque vous les téléchargez.
Convertir ce que LogTotal ne lit pas
| Vous avez | Convertir avec |
|---|---|
| Fichiers de journal systemd (.journal) | journalctl -D <dir> -o json –no-pager > sortant.jsonl |
| Un .logarchive macOS | log show –archive <file> –style json > sortant.json (sur un Mac) |
| EVTX, mais vous souhaitez l’étape de nettoyage | evtx_dump -o jsonl dans.evtx > sortant.jsonl |
| Journaux compressés en Gzip | zcat -f dans.log.gz > sortant.log |
| Un export de feuille de calcul ou XML depuis l’interface web d’un SIEM | Réexportez via l’API ou le CLI de la plateforme ; voir |
Taille
split -l 200000 gros.jsonl part_
Pour EVTX, filtrez lors de l’exportation avec wevtutil /q
FAQ
LogTotal conserve-t-il mes fichiers ?
Non. Les téléchargements sont analysés et non conservés.
Plus de formats seront-ils pris en charge ?
Oui. Nous ajoutons régulièrement des formats, et cette page liste toujours ce qui fonctionne aujourd’hui.
