LogTotalを活用したログ分析

ログ分析とは？

ログ分析は、運用やセキュリティ上の疑問に答えるために、機械生成のイベント記録を収集、解析、正規化、クエリする作業です。SOCでは、その質問は通常狭義です: このアカウントが予期しないソースから認証されたのか、このホストが異常な子プロセスを生成したのか、データ転送に先立つAPIコールはどれか。

生のデータは異種であり、WindowsセキュリティとSysmonチャネルは.evtxファイルに、Linuxのauth.logとjournald出力、ファイアウォールとプロキシイベントはCEFに、AWS CloudTrailやMicrosoft Entra IDのサインインログなどのクラウド監査トレイルはJSONとしてエクスポートされます。

動作するログ分析パイプラインには四段階あります：

1. 収集。 フィールドやタイムスタンプを失わずにソースからイベントをエクスポートします。
2. 正規化。 src_ip, IpAddress, sourceIPAddressを共通のスキーマにマッピングします。
3. 検出。 Sigmaまたはベンダーのルールを実行し、ヒットしたすべてにMITRE ATT&CK技術をタグ付けします。
4. 相関付け。 関連するヒットをタイムラインや攻撃チェーンにグループ化し、アナリストが検証できるようにします。

無料で始めましょう

なぜログ分析が検出と対応に重要なのか

ログはしばしば侵入後に唯一残る記録です。EDRテレメトリは切替わり、メモリは再起動で失われ、必要なときにパケットキャプチャが実行されていることは稀です。Windows Event IDs 4624, 4672, 4688やCloudTrailコール、例: ConsoleLogin, CreateAccessKeyは通常、インシデントのスコープ設定のための主要な証拠です。

3つのプレッシャーがログ分析をSIEM機能ではなくSOCスキルの核心にします：

• ボリューム。 単一のインシデントが何百万ものイベントを生成することがあり、grepは既に探すべきことを知っているものしか見つかりません。
• カバレッジギャップ。 契約者のラップトップ、OTセグメント、誰も接続していないSaaSテナントはSIEMに含まれていませんが、それらのログも分析が必要です。
• データ取り扱い。 ログはユーザー名、ホスト名、IP、セッションクッキー、ベアラートークンを含みます。GDPR下ではそれらの多くは個人データであり、漏れたトークンは有効なアクセス経路です。

ベンダーチケットに添付されたりAIチャットに貼り付けられたログは、元の値を読める人々や管轄範囲を広げます。良いログ分析は迅速に質問に答えつつ、第二のインシデントを生じさせません。

ログ分析の短い歴史

Eric Allmanが1980年代初頭にSendmail向けに書いたSyslogは、後にRFC 3164（2001年）およびRFC 5424（2009年）で標準化されました。20年間、ログ解析は中央syslogサーバー上でのgrepとawkを意味していました。

Windowsは構造化へ進化しました。Windows Vistaは従来の.evt形式をXMLベースの.evtx形式と現在も使用されているチャネルモデルに置き換え、Sysmon（2014年）は高忠実度のプロセスやネットワークテレメトリを追加しました。

2000年代中頃にSIEMが発展しました。ArcSight、QRadar、後のSplunkが中央検索と相関をプロダクトカテゴリーにし、ArcSightのCEFは今でも多くのネットワークアプライアンスから出力されます。2010年代はELKのようなオープンスタックやCloudTrail（2013年）のようなクラウド監査トレイルを追加しました。

2017年、Sigmaはディフェンダーにベンダーニュートラルなルールフォーマットを提供しました。同じ年、SOC PrimeはSigmaルールにMITRE ATT&CK技術をタグ付けし、NotPetyaの公開調査にそのアプローチを適用しました。それ以来、ATT&CKマッピングは検出コンテンツのデフォルトの期待事項となりました。

ログ分析の行方

検出は上流へ移動します。 チームはストリームイベントにパイプライン内でSigmaルールを実行し、データがSIEMに到達する前にストレージコストを削減し、検出までの平均時間を時間から分に短縮します。

相関付けは単一のアラートを超えます。 孤立した低忠実度マッチは雑音です。ホストや時間枠をまたぐ技術を結び付けて攻撃チェーンを形成する高次ロジックはアナリストに確認またはクローズするものを提供します。

AIトリアージはデータ取り扱いの限界と出会います。 LLMはプロセスツリーを説明しタイムラインをうまく要約しますが、生のテレメトリをモデルプロバイダーに送信することはプライバシーと契約上の疑問を引き起こし、先端モデルはセキュリティコンテンツを拒絶するかもしれません。2026年7月のHuggingFaceインシデント対応中、約17,000件のイベントを先端モデルに送信しようとした試みはガードレールによりブロックされました。

疑似匿名化がパイプラインの段階となります。 静的なマスキングは相関を破壊し、単純なハッシュは辞書当による推測で逆算される可能性があります。キー付きHMACトークンは値を除去しながらも関係性を保ちます。このステップがすべての外部先との前に期待されます：AIサービス、ベンダーサポート、MSSP、共有データレイクなど。

ログ分析の利点

• インシデントレスポンダーのスコープ設定が速くなります。 関連付けられたタイムラインは「どのホストが、どのアカウントが、いつから」かを数分で答え、それによりコンテインメントが進み滞在時間が短縮されます。
• エンジニアのための検証済みの検出。 ログをルールロジックに対して再生することにより、どのSigmaルールが発火し、どれが雑音であり、どのATT&CK技術がカバレッジなしであるかを示します。
• コンプライアンスの証拠。 PCI DSS要件10、ISO/IEC 27001コントロールA.8.15、NIS2はすべてセキュリティイベントが記録されレビューされることを期待します。
• 管理者のための根本原因。 失敗したサービスを説明するjournalctl出力はしばしば攻撃者が悪用する可能性がある設定ミスを示します。
• SIEMコストの削減。 短期間のソースを一度分析するだけでオンボーディングを必要としません。
• 安全な協力。 疑似匿名化されたログはリテイナー、MSSP、またはベンダーTACがホストとユーザーを実際のアイデンティティを見ずにクラスタリングすることを可能にします。

ログ分析のユースケース

管理されていないホストのトリアージ。 EDRのない契約者のラップトップが妥協されている疑いがある。Security、Sysmon、PowerShellログをエクスポートし、再イメージング前にLogTotalの発見を確認します（T1003：クレデンシャルアクセス、T1059.001：PowerShell実行、T1053.005：スケジュールされたタスク）。

クラウドアカウントの乗っ取り。 見慣れないConsoleLoginの後、CloudTrailとEntra IDサインイン72時間分を引き出し、新しいアクセスキー、MFAの変更、IAMポリシーの編集を探します。

外部IRリテイナーとベンダーTAC。 保持するキーで証拠をクリーニングします。第三者はトークンによってホストとユーザーをクラスタリングし、あなたは内部でトークンをマッピングします。

検出エンジニアリング。 Atomic Red TeamまたはCalderaログを再生し、どのルールが発火したか確認し、GitまたはCIアーティファクトに到達する前にフィクスチャをクリーニングします。

プライバシーレビュー。 キー付き疑似匿名化はGDPR第32条の下で記録可能な技術的対策です：何が置換されたか、トークンがどのように生成されたか、キーを保持するのは誰か。

プラットフォームごとのログ分析方法：ログを見つけてエクスポート

以下の手順はすべて、LogTotalがネイティブに読み取る形式（EVTX、CEF、JSON/NDJSONまたはsyslog）で終了します。最初にUTC時間のウィンドウとスコープを修正し、チェーンオブカストディ用に各エクスポートをハッシュ（Get-FileHashまたはsha256sum）します。

Windows（EVTX）。 ローカル管理者として昇格したシェルが必要です。%SystemRoot%System32winevtLogsの下のライブ.evtxファイルはイベントログサービスによりロックされているため、wevtutilでエクスポートしてください：

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

/q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"を追加してエクスポートを24時間に制限します。GUIパス：eventvwr.msc → Windows Logs → Security → 全イベントを…として保存

Linux（syslogまたはNDJSON）。 rootまたはadm / systemd-journalのメンバーシップが必要です。/var/log/auth.log（Debian/Ubuntu）または/var/log/secure（RHEL）をコピーします。journaldの場合：

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail（JSON）。 cloudtrail:LookupEventsが必要です。CloudTrail → イベント履歴 → イベントをダウンロード → JSONをダウンロード 90日間の管理イベントをカバーします。トレイルバケット（s3:GetObject, kms:Decrypt）から、レコードをNDJSONにフラット化します：

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra IDとMicrosoft 365（JSON）。 Entra管理センター → アイデンティティ → 監視とヘルス → サインインログ → ダウンロード → JSON（レポートリーダー役割）。Purviewの監査データの場合は、CSVエクスポートをスキップしてJSONを直接取得します（監査ログ役割）：

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

ネットワークデバイス（CEF）。 デバイスをCEFに切り替えます（FortiGateの場合: config log syslogd setting → set format cef）、syslogコレクターからCEF:0|を含むラインをエクスポートします。

ログ分析におけるSOC Primeの提供

• 脅威検出マーケットプレイス：1,000,000以上のSigmaネイティブ検出ルール、SIEM、EDR、データレイク言語に翻訳され、ATT&CKでタグ付けされています。
• プライムハント：関連するルールでSIEM、EDR、データ湖の履歴データをスキャンし、結果から攻撃チェーンを推測します。
• プライムディテクト：ストリーミングイベントでSigmaルールを実行し、リアルタイムで攻撃チェーンに相関付けします。
• Uncoder.IO：SigmaとRootaルールをネイティブクエリに翻訳します。
• LogTotal：無料、サインアップ不要のブラウザ内での輸出ログファイルの分析。
• logtotal-sanitizer：LogTotalのApache 2.0エンジンを、オンプレミスまたはエアギャップで使用できるNode.jsライブラリおよびCLIとして提供。

LogTotalは、このガイドが取り上げているケースをカバーします：SIEM外部のソースからのファイル、および生の状態を共有できないもの。各分析はSOC PrimeのDetectFlowエンジンの使い捨て専用インスタンスで実行され、その後削除されます。

LogTotalを使ったログ分析の動作

LogTotalは無料でアカウントは不要で、何かがアップロードされる前にブラウザ内でファイルをクリーニングします。SOC Primeは分析後ログを保持せず、それに基づいてトレーニングも行いません。

1. 開く logtotal.com 最新のChromium、Firefox、Safariビルドで。
2. エクスポートを読み込む。 .evtx, .log, .json, .ndjsonファイルをドロップします。フォーマットは自動的に検出されます。
3. クリーニング結果を確認。 秘密、クッキー、支払いID、IP、ホスト名、ユーザー名、ホームディレクトリパスは、 または のようなキー付きHMAC-SHA-256トークンになります。同一の値は同一トークンを取得するため、同じアカウントのスプレー攻撃はまだ10のユーザーとして表示されます。
4. クリーニングされたコピーをダウンロード してケースファイルに使用します。それが分析されたものと正確に同じです。
5. 分析を実行。 イベントは約1,000,000の検出ルールと13,000のラベルに対してチェックされ、さらに高次SigmaルールおよびエージェンティックAIによって相関付けられます。SOC Primeは、1.7百万件のイベントが1分以内に処理されるとしています。
6. 結果を読む。 検出はATT&CKにマッピングされ、攻撃チェーンにグループ化され、AIによって説明されます。資格情報アクセスと横方向移動の発見の両方に現れるトークンは、リセットするアカウントです。

複数のホストに対して、またはブラウザーアップロードが制限されている場合、オープンソースCLI（Node.js 20+）を使ってローカルでクリーニングし、トークンをファイル間で一致させるために1つのキーを再利用します：

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”