任意のSIEMからログを無料で抽出する方法

すべてのSIEMは、そのデータを元の生のイベントまたは自ら解析したJSONのいずれかの形で戻すことができます。SIEM外での分析には、生のイベントを使うのがほとんどの場合ベストな選択です。それらをブラウザではなく、APIまたはCLIを通じて短い時間枠でエクスポートしてください。以下の表は各主要プラットフォームの最適な経路を示し、完全なガイドへのリンクがあります。

そもそもなぜSIEMからデータを取り出すのか？ 第二の意見を得るため、アクセス権のないIRパートナーと共有するため、またはSIEMにない検出ロジックを実行するためです。Prime Coreにはこれらのプラットフォームにまたがる100万の検出ルールがあり、676のMITRE ATT&CK技術にマッピングされています。LogTotalはそれらをファイルに対して無料で実行します。

無料で始める

プラットフォームごとに

どこでも適用できる6つのルール

1. 概要ではなくイベントをエクスポートします。 stat、summarize、table、または集計で終わるものは、レポートであり、ログではありません。
2. まず絞り込む。 ホスト、ソース、イベントタイプ、時間枠。引き出す前にカウントする。ほとんどのプラットフォームはUIで数を表示します。
3. 数千を超えるイベントの場合はAPIまたはCLIを使用します。 ブラウザエクスポートはタイムアウトし、検索を再実行するか、行数を静かに制限します。
4. 権限境界に注意してください。 APIトークンはUIセッションよりも少ないことがよくあります：QRadarのセキュリティプロファイル、Splunkの役割、Graphのスコープ。数が一致しないときは、最初にトークンを確認します。
5. タイムゾーンを固定します。 UTCまたは明示的なオフセットを使った絶対ウィンドウを使います。相対的ウィンドウ（「過去24時間」）は、検索を再実行するとドリフトします。
6. 封筒を開きます。 多くのAPIは各イベントをラップします：CloudTrailEvent内のJSON文字列、Records配列、結果キー、CloudWatchメッセージ。jqを使って1イベントにつき1行にフラット化してからアップロードします。

SIEMが返せないもの

• 元のバイナリ。 いかなるSIEMもWindows EVTXファイルを返しません。戻されるのはレンダリングされたテキストまたはJSONです。EVTXの場合はホストへ向かってください。
• 保持期間を超えたデータ。 一旦古くなったり、復元が必要なアーカイブ階層に移動したりすると、通常の検索では見つかりません。
• 取り込み時に削除されたフィールド。 パイプラインが生の行またはフィールドを破棄した場合、それは消えています。アナリストに何かを約束する前に確認してください。

LogTotalにアップロード、クリーンアップ、レビュー

LogTotalはsyslogスタイルのテキスト、JSON、EVTXを読み取ります。テキストおよびJSONのアップロードは解析前にクリーンアップのステップを通ります。

1. アップロード。 開く logtotal.com を開いてエクスポートをドロップします。
2. クリーンアップ。 
3. レビュー。