フォローする SOC PrimeのLogTotalは、Google SecOps、CrowdStrike Falcon LogScale / Next-Gen SIEM、Microsoft Defender for Endpoint (MDE)、Microsoft Sentinelという4つの主要なSIEMおよびEDRプラットフォームからのログエクスポートをサポートしています。各プラットフォームは、独自のファイル形式、フィールド名、データモデルを使用します。LogTotalはこれらの違いを自動的に処理するため、セキュリティチームはエクスポートをそのままアップロードし、すべてのソースから同じ深さの分析を受けることができます。Splunk、IBM QRadar、およびOpenSearch/Elasticsearchのサポートも今後予定されています。
新機能: 4つのプラットフォーム、1つのアナライザー
新しくサポートされたプラットフォームは、それぞれ異なるデータモデルと異なるエクスポートオプションを提供します。
| プラットフォーム | データモデル | ベンダーによるエクスポートのドキュメント |
| Google SecOps | 生ログを正規化するパーサーによって生成される統合データモデル（UDM） | CSVとしての検出イベント、最大100,000イベント |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | ネイティブのFalconセンサーフィールド名; サードパーティデータは CrowdStrike Parsing Standard（CPS）、ECSに基づく | CSV、JSON、プレーンテキスト |
| Microsoft Defender for Endpoint | 例えばDeviceProcessEventsのようなテーブルを含む高度なハンティングスキーマ | Excelワークブックとしての高度なハンティング結果 ；ガイド付きモードからのCSV |
| Microsoft Sentinel | KQLでクエリされたログアナリティクステーブル; オプションのASIM標準化 | CSVとしてのクエリ結果 ログウィンドウから |
それぞれのためにコンバージョンスクリプトやフィールド名の変更、カスタムパーサーは必要ありません。
同一イベント、4通りの異なる説明
各プラットフォームは、同じ活動を独自の方法で記録します。単一のプロセス起動は、エクスポート元によって異なるフィールド名を持ちます。
| 検出が探しているもの | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| 新しいプロセスのコマンドライン | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| 新しいプロセスイメージ | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| 親または開始プロセス | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
違いは名前を超えます：
- 同じフィールドに異なる名前。 コマンドラインのような概念は、各プラットフォームで異なる名前が付けられています。
- 異なる構造。 UDMはフィールドをprincipalとtargetにネストし、MDEやFalconは平坦なカラム名を使用します。 MDEのFolderPathとFileNameのように、いくつかの値はフィールドに分割されています。
- 1つのプラットフォーム内での異なる命名。 Next-Gen SIEMはセンサーテレメトリーに対してネイティブのFalcon名を保持し、サードパーティデータに対してECSベースのCPS名を使用します。どちらも1つのエクスポートで表示されることがあります。
通常、アナリストは1つのルールを実行する前にこれらのギャップを手作業で埋めますが、LogTotalを使用すればこれらの違いは問題ではありません。
LogTotalはファイル形式をどのように処理するか
LogTotalはファイル形式を自動的に検出します。SOC Primeは、手動変換なしで EVTX、CEF、JSON、およびsyslogの自動検出を文書化しています。LogTotalは、最大3 GBまたは3,000,000イベントまでの.log、.json、.jsonl、.evtx、.txtファイルのアップロードまたは貼り付けを受け入れ、1分以内に最大1.7百万イベントを処理します。
ここで取り上げたプラットフォームは、記録のパッケージングの方法で最も異なります。
- 一つのJSON配列。 LogScaleのJSONエクスポートは、すべてのイベントを1つの配列でラップします。LogTotalは各要素を別々のイベントとして読み取ります。
- CSVエクスポート。 Google SecOps、MDEの高度なハンティング、およびSentinel Logsはクエリ結果をCSVファイルとしてエクスポートします。各カラムヘッダーは、そのプラットフォームのスキーマ内のフィールドで名前が付けられています。
JSONのネストをフラットにしたり、カラム名を変更したり、フィールドを再配置したりする必要はありません。その後の消毒は、解析イベントでブラウザ上でローカルに実行されるため、同じ識別子が到着した形式に関係なく一貫してトークン化されます。
LogTotalはフィールド名とマッピングをどのように処理するか
LogTotalは、プラットフォームごとのフィールド名を検出ロジックが期待するフィールドにマッピングし、1つのルールがすべてのスキーマに対して正しく評価されるようにします。ユーザーがマッピングを維持したり、パーサーを書いたり、スキーマを選択する必要はありません。
これは、SOC Primeがその検出コンテンツのためにすでに行っているマッピング作業に基づいています。SOC Primeのプラットフォームサポートマトリックスは、UDMデータスキーマに対して書かれたGoogle SecOps用のルール、およびデフォルトのスキーマに対して書かれたMDEおよびSentinel用のKustoクエリをリストしています。LogTotalは、エクスポートされたファイルにも同じ知識を適用します。
マッピング後、すべてのプラットフォームからのイベントは同じパイプラインを通過します：約1,000,000の検出ルールと13,000の脅威ラベルが、MITRE ATT&CKにマッピングされた攻撃チェーンにエージェンティックAIを持つ高次Sigmaルールと関連付けられます。
これがセキュリティチームに意味すること
形式とスキーマの違いはLogTotalの問題であり、あなたの問題ではありません。実際には：
- 普段通りにエクスポートしてください。 プラットフォームの標準エクスポートを使用し、そのままファイルをアップロードします。
- 1つの調査でソースをミックスします。 異なるプラットフォームからのログは同じルールと相関で分析されるため、発見は比較可能です。
- 識別子をプライバシーに保ちます。 消毒はホスト名、IP、ユーザー名、秘密をアップロード前に安定したHMACトークンに置き換えます。キーを保持し、トークンを内部的にマッピングできます。
- すべてのプラットフォームで同じ深さを得る。 どのSIEMまたはEDRがファイルを生成したかに依存せず、ルールカバレッジがあります。
最良の結果を得るには、プロセス、コマンドライン、親プロセス、ユーザー、ホスト、ネットワークの詳細など、検出値を有するフィールドをエクスポートし、要約ビューの代わりにフルイベントエクスポートを選択してください。プラットフォームが両方を提供する場合は、カラムサブセットよりもフルイベントエクスポートを選択してください。
近未来に計画されている
からのエクスポートのサポート Splunk, IBM QRadar、および OpenSearch/Elasticsearch が計画されています。これらのプラットフォームは、ElasticのECSフィールド名などの独自の慣習を持ってきます。エクスペリエンスは変わりません：エクスポートしてアップロードし、LogTotalに形式とフィールドマッピングを任せます。
