Śledź Środowisko przedsiębiorstwa emituje miliony zdarzeń na godzinę. W przypadku incydentu, osoba zajmująca się reagowaniem rzadko potrzebuje ich wszystkich. Potrzebuje kilkuset, które opowiadają historię: nagły wzrost błędów 4625, po którym następuje pojedynczy sukces 4624, zakodowany PowerShell uruchomiony przez winword.exe, nowa usługa zainstalowana o 03:12 na kontrolerze domeny. Analiza logów to dyscyplina polegająca na przejściu od pierwszej liczby do drugiej wystarczająco szybko, aby miało to znaczenie.
Ta praca stała się trudniejsza w dwóch kierunkach jednocześnie. Atakujący używający narzędzi AI generują dowody z prędkością maszynową i wypełniają rzeczywiste działania aktywnością wyglądającą na nieszkodliwą. Tymczasem oczywiste skróty polegające na przesyłaniu logów do LLM napotykają na ograniczenia kontekstu, limity okien czasowych i obowiązki dotyczące ochrony danych. Osoby reagujące z Hugging Face napotkały dokładnie tę ścianę w lipcu 2026 roku, gdy około 17 000 zdarzeń zostało odrzuconych przez modele graniczne i musiało zostać przetworzonych na modelu lokalnym.
Poniżej omówimy analizę logów od początku do końca, a następnie przyjrzymy się LogTotal, darmowemu rozwiązaniu SOC Prime dla wersji problemu podczas incydentu.
Jakie są podstawy analizy logów?
Każdy przepływ pracy analizy logów, niezależnie od tego, czy działa w SIEM, jeziorze danych czy na laptopie osoby reagującej, opiera się na tych samych pięciu etapach. Pominięcie jednego z nich często skutkuje później brakiem wykrycia lub fałszywie pozytywnym wynikiem, którego nikt nie może wyjaśnić.
- Zbieranie. Agenci, forwardery syslog, pogłębiacze API i eksporterzy natywni w chmurze przenoszą zdarzenia ze źródła. Luki tutaj są ciche: konfiguracja Sysmon, która pomija identyfikator zdarzenia 10 (dostęp do procesu), oznacza, że zrzut poświadczeń przez LSASS nigdy nie pojawia się w dalszym przepływie.
- Parsowanie i normalizacja. Raw lines become fields. Źródłowy IP powinien być tym samym polem, bez względu na to, czy pochodzi z zapory, IdP, czy EDR, co jest powodem istnienia schematów takich jak ECS i OCSF.
- Wzbogacenie. Krytyczność zasobu, rola użytkownika, GeoIP i dane wywiadowcze dotyczące zagrożeń zamieniają adres IP w kontekst, na którym analityk może działać.
- Korelacja. Pojedyncze zdarzenia rzadko coś udowadniają. Łączenie ich według hosta, użytkownika, GUID procesu lub ID sesji to to, co tworzy narrację ataku.
- Retencja i integralność. Hot storage for search, cold storage for forensics, and tamper evidence so the record holds up later.
Co to jest analiza logów?
Analiza logów to proces przeglądania rekordów wygenerowanych przez maszyny w celu zrekonstruowania przebiegu zdarzeń w systemie, ustalenia, czy ma to znaczenie, i podjęcia decyzji, co dalej. W operacjach bezpieczeństwa odpowiada na pięć pytań dotyczących każdej podejrzanej aktywności: kto działał, na jakim zasobie, kiedy, skąd i za pomocą jakiego mechanizmu.
Jest odrębna od zarządzania logami. Zarządzanie to hydraulika: pobieranie, przechowywanie, retencja, kontrola dostępu. Analiza to interpretacja. Zespół może mieć dobrze działającą pipe logów i mimo to przegapić włamanie, ponieważ nikt, ani człowiek, ani maszyna, nie zadaje właściwych pytań danych.
W praktyce analiza logów działa w trzech trybach:
- Detekcja. Zasady i modele oceniają zdarzenia nieprzerwanie i podnoszą alarmy, gdy pojawia się znane złośliwe zachowanie.
- Dochodzenie. Po alarmie lub wskazówce, analitycy przechodzą przez związane zdarzenia, aby określić zakres incydentu i znaleźć jego przyczynę.
- Polowanie na zagrożenia. Analitycy zaczynają od hipotezy, takiej jak nadużycie konkretnego LOLBin, i proaktywnie szukają dowodów, które warstwa wykrywania przegapiła.
Z wszystkich zespołów korzystających z logów, bezpieczeństwo ma najmniej miejsca na luki.
Dlaczego analiza logów jest tak ważna?
Ponieważ czas wpływa na koszt naruszenia, a to w logach czas jest zdobywany lub tracony. Raport IBM 2026 Cost of a Data Breach umieszcza średni czas identyfikacji i ograniczenia naruszenia na poziomie 247 dni, pierwszy wzrost od pięciu lat. Naruszenia z cyklem życia powyżej 200 dni miały średnią kosztów 5,65 miliona dolarów, w porównaniu z 4,32 milionami dla tych ograniczonych szybciej.
Poza kosztami, analiza logów wspiera cztery zobowiązania każdego programu bezpieczeństwa:
- Detekcja. EDR i NDR widzą fragmenty aktywności. Logi od dostawców tożsamości, śladów audytu SaaS i płaszczyzn kontrolnych chmury wypełniają luki między nimi.
- Określenie zakresu i identyfikacja przyczyny podstawowej. Bez dowodów na poziomie zdarzeń, osoby reagujące nie mogą powiedzieć, które konta zostały dotknięte ani jak doszło do włamania, więc naprawa staje się zgadywaniem.
- Raportowanie regulacyjne. PCI DSS Wymóg 10.0 wymaga przeglądu dzienników audytowych i 12 miesięcy retencji. Forma 8-K SEC Pozycja 1.05 daje firmom notowanym cztery dni robocze po ustaleniu istotności, co jest niemożliwe bez szybkiego określenia zakresu.
- Inżynieria wykrywania. Prawdziwa telemetria to sposób, w jaki zasady są testowane i dostrajane.
Tu jest haczyk. Te same logi, które umożliwiają to wszystko, zawierają nazwy użytkowników, adresy IP, ciastka sesji i tokeny nosicieli. Dobra analiza coraz częściej oznacza bezpieczną analizę.
Jakie są typy danych logów?
Logi istotne dla bezpieczeństwa należą do sześciu rodzin. Każda z nich odpowiada na inne pytanie, a dochodzenie opierające się tylko na jednej lub dwóch z nich będzie miało ślepe punkty, w których może przeżyć atakujący.
| Rodzina logów | Typowe źródła | Co mówi analitykowi |
| Endpoint i OS | Windows Security (4624, 4688, 7045), Sysmon, Linux auditd, journald | Który proces został uruchomiony, pod jakim kontem, z jakim rodzicem i linią poleceń |
| Tożsamość | Active Directory (4768, 4769), logowania Entra ID, Okta System Log | Kto się uwierzytelnił, skąd, z jakim protokołem i wynikiem MFA |
| Sieć | Zapora, DNS, proxy WWW, Zeek, NetFlow | Kto z kim rozmawiał, ile danych zostało przesłanych, które domeny zostały rozwiązane |
| Płaszczyzna kontrolna chmury | AWS CloudTrail, Azure Activity Log, GCP Audit Logs, Kubernetes audit | Które wywołania API zmieniły infrastrukturę, role lub polityki |
| Aplikacje i SaaS | Dzienniki dostępu serwera WWW, Microsoft 365 Unified Audit Log, Google Workspace | Co użytkownicy robili wewnątrz aplikacji biznesowych i przechowalni danych |
| Kontrole bezpieczeństwa | EDR, IDS/IPS (Suricata), WAF, brama e-mail | Co inne narzędzia już zaznaczyły i dlaczego |
Najbardziej wartościowe odkrycia zazwyczaj znajdują się na granicach. Próba Kerberoastingu pojawia się jako klaster żądań 4769 z szyfrowaniem RC4 w logach tożsamości. Udowodnienie, co atakujący zrobił z przejętym kontem usługowym, wymaga danych końcowych i chmurowych.
Jakie są powszechne formaty i struktury plików logów?
Logi wahają się od w pełni ustrukturyzowanych do swobodnego tekstu, a ciężar parsowania skaluje się odpowiednio. Cztery formaty pokrywają większość tego, co SOC obsługuje na co dzień.
Syslog. Nadal lingua franca dla urządzeń sieciowych i hostów Unix. RFC 3164 (BSD syslog) jest luźno zdefiniowany i ubogi w znaczniki czasowe. RFC 5424 dodaje pole wersji, znaczniki czasu ISO 8601, MSGID i blok STRUCTURED-DATA, ale sam korpus wiadomości jest często specyficzny dla dostawcy tekstem swobodnym.
CEF. Format wspólnych zdarzeń ArcSight zawija zdarzenia w nagłówek oddzielony pionowymi liniami, a następnie klucz=wartość rozszerzenia:
CEF:0|Acme|FW|7.2|4625|Logon failure|5|src=10.1.4.22 suser=jdoe dst=10.1.0.5
Jest łatwy do parsowania, ale płytki, a dostawcy mapują pola niespójnie. LEEF, używany przez QRadar, opiera się na tym samym pomyśle.
JSON i NDJSON. Domyślny dla chmury i SaaS dzienników audytu. Jeden obiekt na linię sprawia, że NDJSON jest strumieniowy, podczas gdy głębokie zagnieżdżenia i tablice komplikują spłaszczanie do stałego schematu.
Windows EVTX. Format binarny z rekordami segmentowanymi, zawierającymi dane zdarzenia XML. Nie możesz go grepować; potrzebuje dedykowanego parsera, a użyteczne pola znajdują się w EventData.
Praktycznym testem dla każdego narzędzia do analizy jest to, czy potrafi natywnie obsługiwać wszystkie cztery formaty, bez pisania skryptów konwersji w środku incydentu.
Monitorowanie logów w czasie rzeczywistym
Monitorowanie w czasie rzeczywistym oznacza ocenę zdarzeń w momencie ich nadejścia, a nie według harmonogramu wyszukiwania. Zaplanowane zapytanie SIEM uruchamiane co 15 minut z oknem cofania na 20 minut, za kilkoma minutami opóźnienia w obsłudze i indeksowaniu, może łatwo umieścić pół godziny między działaniem atakującego a pierwszym alertem.
Architektury strumieniowe zamykają tę lukę, przenosząc logikę wykrywania do przodu. Zdarzenia przepływają przez bus, taki jak Kafka, lub pipeline, taki jak Cribl Stream, a zasady są oceniane w locie z okienkami stanowymi dla liczników i sekwencji. Tylko wzbogacone, oznaczone zdarzenia i alerty trafiają do SIEM, co również obniża koszty pobierania.
Trzy problemy inżynieryjne towarzyszą temu:
- Późne i nie w porządku zdarzenia. Windows need watermarks or grace periods, or a sequence split across a delayed batch never completes.
- Zarządzanie stanem. Śledzenie 10 000 hostów w oknie 30-minutowym to problem z pamięcią, a nie z zapytaniami.
- Objętość alertów. Szybsze wykrywanie hałaśliwych reguł tylko generuje hałas szybciej.
Rzeczystkimi punktami widocznymi są także ślepy punkt z definicji. Zobaczą tylko to, co jest do nich podłączone. Logi pobierane z izolowanego serwera, laptopa kontrahenta lub nowo nabytej spółki-dziecka wciąż wymagają szybkiej, samodzielnej analizy.
Jakie są główne techniki rozpoznawania wzorców w logach?
Rozpoznawanie wzorców w logach działa na wielu warstwach, od pojedynczych zdarzeń po całe łańcuchy ataków.
- Dopasowywanie atomowe. Jedno zdarzenie, jeden warunek: znana zła suma kontrolna, rundll32.exe ładujący się z ścieżki zapisu użytkownika, Sigma rule na podejrzanej linii poleceń. Szybkie i precyzyjne, ale ślepe na to, co jest złośliwe tylko w kontekście.
- Agregacja i progi. Liczenie w obrębie okna. Dwudziestu nieudanych logowań na jedno konto sugeruje siłowe łamanie haseł; jeden błąd na dwa konta ze źródła sugeruje rozpylanie haseł. Ten sam identyfikator zdarzenia, różny wzorzec.
- Korelacja sekwencji. Zdarzenia uporządkowane w czasie, takie jak nowo utworzony lokalny administrator używany następnie do logowania RDP w ciągu dziesięciu minut.
- Baza podstawowa i wykrywanie anomalii. First-seen parent-child process pairs, rare user-agent strings, logons outside a user’s normal hours.
- Korelacja wyższego szczebla. Zasady aplikowanie na detekcji zamiast na surowych zdarzeniach, łączące pojedyncze trafienia w łańcuch zmapowany według taktyk MITRE ATT&CK. To jest warstwa, która zamienia 400 alertów w jeden incydent.
Jakie są podstawowe narzędzia analizy logów?
Żaden pojedynczy produkt nie obejmuje całej pracy. Dojrzałe zespoły łączą narzędzia analizy logów z czterech kategorii.
| Kategoria | Przykłady | Najlepsze w |
| SIEM | Splunk, Microsoft Sentinel, Google SecOps, Elastic Security | Scentralizowana detekcja, triage alertów, zarządzanie przypadkami |
| Rurociągi danych bezpieczeństwa | Cribl Stream, Vector, Fluent Bit | Routing, filtrowanie, normalizacja i kontrola kosztów przed magazynowaniem |
| Jeziora danych | Amazon Security Lake (OCSF), Snowflake, ClickHouse | Tania długoterminowa retencja i wielkoskalowe polowania |
| Narzędzia DFIR | Hayabusa, Chainsaw, EvtxECmd, Velociraptor | Szybka triage zgromadzonych artefaktów, zwłaszcza EVTX |
Luka pojawia się podczas reakcji na incydenty. SIEM zakłada, że dane są już pobrane. Narzędzia DFIR są szybkie, ale działają na ograniczonym zestawie reguł i pozostawiają korelację analitykowi. Ogólne LLM napotykają ograniczenia kontekstu i odmawiają treści związanych z bezpieczeństwem. Narzędzie stworzone na pierwszą godzinę incydentu potrzebuje krótkiej listy właściwości:
- natywne pobieranie EVTX, syslog, CEF i JSON
- duża, utrzymywana biblioteka wykrywania, a nie tylko kilka setek reguł
- korelacja w łańcuchach ataków, a nie płaska lista trafień
- wyniki w minutach na popularnej infrastrukturze
- model prywatności, który przechodzi przegląd DPO
Dlaczego LogTotal jest jednym z najlepszych?
LogTotal spełnia każdy punkt na tej liście, a robi to za darmo. SOC Prime otworzyło go jako publiczny podgląd 26 sierpnia 2026 roku i ogłoszone ogólne wydanie 15 października. Workflow jest prosty: wgraj, zanonimizuj, a potem odbierz wyniki dochodzenia.
| Wymaganie | Jak LogTotal to spełnia |
| Formaty natywne | Automatycznie wykrywa EVTX, JSON/NDJSON i syslog, bez kroku konwersji |
| Głębokość wykrywania | Dopasowuje zdarzenia do około 1 000 000 reguł wykrywania i 13 000 etykiet zagrożeń |
| Korelacja | Wyższe Orderze Zasady Sigma oraz AI korelują agentów, składając łańcuchy ataków zmapowane na MITRE ATT&CK |
| Szybkość | Do 1,7 miliona zdarzeń w mniej niż minutę, około 100 razy zestaw logów Hugging Face |
| Prywatność | Anonimizacja odbywa się w przeglądarce, nic nie jest przechowywane, a dane klienta nie są używane do treningu |
Szybkość nie jest sztuczką GPU. Myślenie o tym, jak wygląda każdy atak, zostało wcześniej przeprowadzone i skompilowane w treść wykrywania, więc silnik dopasowuje i koreluje zamiast generować tokeny.
Model prywatności to to, co pozwala LogTotal przejść przez przegląd prawny. Otwartoźródłowy sanitizer @socprime/logtotal-sanitizer (Apache-2.0) zamienia poświadczenia, adresy IP, nazwy hostów i nazwy użytkowników na stabilne tokeny HMAC, dzięki czemu jeden użytkownik na trzech hostach pozostaje jedną jednostką po redakcji. Ty trzymasz klucz. Każda analiza działa na jednorazowej, niezmiennej instancji, która jest usuwana po zakończeniu.
Wyniki pojawiają się jako zrankowane łańcuchy ataków, z flagami dla technik ukrywania i nagłych wzrostów aktywności typowych dla wtargnięć napędzanych przez AI.
Główne trendy w analizie logów w 2026 roku
Pięć zmian kształtuje, jak zespoły analizują logi w tym roku.
- Ataki z prędkością AI zmieniają wygląd „podejrzany”. IBM donosi, że ponad jedna czwarta organizacji zmierzyła się z atakiem napędzanym przez AI, wzrastając o 56% rok do roku. Anomalie w obszarach zwykłych zdarzeń stają się same w sobie sygnałem wykrywania.
- SIEM się dzieli. Gartner’s 2026 Hype Cycle for Security Operations pokazuje rynek dzielący się na zintegrowane platformy SOC i jeziora danych bezpieczeństwa, z agentami SOC AI na szczycie inflacyjnych oczekiwań. Analiza coraz częściej odbywa się tam, gdzie znajdują się dane.
- Detekcja przenosi się do rurociągu. Uruchamianie reguł na strumieniu, przed indeksowaniem, skraca zarówno średni czas wykrycia, jak i wydatki na indeksowanie.
- OCSF staje się wspólnym schematem. Znormalizowane dane pozwalają na to, aby te same wykrywanie, lub ten sam agent AI, działały u różnych dostawców.
- Analiza chroniąca prywatność staje się standardową praktyką. IBM odnotował zaangażowanie shadow-AI w 43% incydentów, wzrastając z 20%. Wklejanie surowych logów do chatbota to dokładnie to. Przed pseudonimizacją kluczową, zanim logi opuszczą organizację, zmienia się z dobrej praktyki w oczekiwanie.
Wspólnym wątkiem jest prędkość bez narażenia. To jest problem, który LogTotal został stworzony, aby rozwiązać, i nic nie kosztuje, aby przetestować go na własnych logach.
