フォローする LogTotalは、以下の3種類のファイルを受け入れます: EVTX形式のWindowsイベントログ、JSON（一行ごとにイベントがあると最適）、およびsyslogスタイルのテキスト。テキストとJSONのアップロードは、解析前に消毒ステップを通過しますが、EVTXファイルはまだです。他の形式のログでも、ほとんど常にそれを変換するためのワンラインコマンドがあります。以下に一般的なものを示します。
LogTotalは、設定せずにログファイルに対して検出ロジックを実行するためのSOC Primeの無料サービスです: アップロード、消毒、レビュー。フォーマットを正しくすることが唯一のつまずく部分かもしれませんが、このページはその短縮版です。
LogTotalが現在読み取るもの
| フォーマット | 一般的なソース | 解析前に消毒されるか? | 取得方法 |
|---|---|---|---|
| EVTX | Windowsセキュリティ、システム、Sysmon、PowerShell、Defender、DNSサーバー | まだ | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / JSONライン | CloudTrail、Entra ID、Microsoft 365、Google Cloud、Okta、Workspace、Kubernetes監査、journalctl -o json、SIEM APIエクスポート | はい | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Syslogスタイルのテキスト | auth.logとsecure、Splunkの生データエクスポート、QRadarのペイロード、ファイアウォールのsyslog | はい | [sshd logs], [Splunk], [QRadar] |
| CSV | Entra IDのサインイン/監査ダウンロード、Microsoft 365の監査ログエクスポート、Google Workspaceの監査エクスポート、Splunk / Sentinel / Kibanaの検索結果、イベントビューワの“CSVとして保存” | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
JSONを正しく取得する
一行ごとのイベントが最も安全な形です。 多くのツールがイベントを配列やエンベロープで囲みます。アップロード前にフラットにしてください:
| あなたが持っているもの | 以下でフラットにします |
|---|---|
| JSON配列（gcloud、az、多くのAPI） | jq -c ‘.[]’ in.json > out.jsonl |
| CloudTrailログファイル | jq -c ‘.Records[]’ *.json > out.jsonl |
| aws cloudtrail lookup-events 出力 | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| CloudWatchログのイベント | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Splunk REST JSONエクスポート | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Windowsでのエンコーディングに注意してください。 Windows PowerShell 5.1は、>またはOut-Fileをオプションなしで使用するとUTF-16で書き込みます。-Encoding utf8を追加してください。すべてのPowerShellのガイド例でそうしています。
タイムゾーンを維持してください。 ISO 8601タイムスタンプにZまたはオフセットが付いていると、他のソースとの整合性が取れます。クラシックなsyslogタイムスタンプには年とゾーンがありません。アップロード時にソースのタイムゾーンをメモしてください。
LogTotalが読まないものを変換する
| あなたが持っているもの | 以下で変換する |
|---|---|
| systemdジャーナルファイル(.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| macOS .logarchive | log show –archive <file> –style json > out.json (Macで) |
| EVTXですが、消毒ステップを望んでいる | evtx_dump -o jsonl in.evtx > out.jsonl |
| gzip圧縮されたログ | zcat -f in.log.gz > out.log |
| SIEMのWebインターフェイスからのスプレッドシートまたはXMLエクスポート | プラットフォームのAPIまたはCLIを通じて再エクスポートする; 参照してください |
サイズ
split -l 200000 big.jsonl part_
EVTXの場合、wevtutil /qでエクスポート中にフィルタリング
FAQ
LogTotalは私のファイルを保持していますか？
いいえ。アップロードされたものは解析され、保存されません。
もっと多くのフォーマットがサポートされますか？
はい。我々は定期的にフォーマットを追加しており、このページに現在有効なものを常にリストしています。
