Analiza Logów z LogTotal

Czym jest analiza dzienników?

Analiza dzienników to praktyka zbierania, parsowania, normalizowania i zapytań dotyczących automatycznie generowanych rekordów zdarzeń w celu odpowiedzi na pytanie operacyjne lub dotyczące bezpieczeństwa. W SOC to pytanie jest z reguły wąskie: czy to konto uwierzytelniło się z nieoczekiwanego źródła, czy ten host uruchomił nietypowy proces podrzędny, które wywołania API poprzedziły transfer danych.

Surowy materiał jest heterogeniczny: kanały Windows Security i Sysmon w plikach .evtx, wyjścia auth.log i journald Linux, zdarzenia zapory i proxy w formacie CEF oraz ślady audytu w chmurze, takie jak AWS CloudTrail lub dzienniki logowania Microsoft Entra ID eksportowane jako JSON.

Działająca rura przetwarzania analizą dzienników ma cztery etapy:

1. Zbieranie. Eksportowanie zdarzeń ze źródła bez utraty pól lub znaczników czasowych.
2. Normalizacja. Mapowanie src_ip, IpAddress i sourceIPAddress do wspólnego schematu.
3. Detekcja. Uruchamianie reguł Sigma lub dostawcy i oznaczanie każdego trafienia technikami MITRE ATT&CK.
4. Korelacja. Grupowanie powiązanych trafień w oś czasu lub łańcuch ataku, który analityk może zweryfikować.

Dlaczego analiza dzienników jest ważna dla detekcji i reakcji

Dzienniki są często jedynym zapisem, który przetrwa naruszenie. Telemetria EDR się przewija, pamięć jest tracona przy uruchomieniu ponownym, a przechwytywanie pakietów rzadko działa, gdy jest potrzebne. Identyfikatory zdarzeń systemu Windows 4624, 4672 i 4688 lub wywołania CloudTrail, takie jak ConsoleLogin i CreateAccessKey, są zazwyczaj podstawowymi dowodami do określenia incydentu.

Trzy naciski czynią analizę dzienników kluczową umiejętnością SOC, a nie cechą SIEM:

• Objętość. Pojedynczy incydent może wytworzyć miliony zdarzeń, a grep znajduje tylko to, czego już wiesz, że należy szukać.
• Luki w pokryciu. Laptopy kontraktorów, segmenty OT i najemcy SaaS, których nikt nie dołączył, nie znajdują się w SIEM, ale ich dzienniki nadal wymagają analizy.
• Przetwarzanie danych. Dzienniki przenoszą nazwy użytkowników, nazwy hostów, adresy IP, pliki cookie sesji i tokeny dostępu. Zgodnie z RODO wiele z nich to dane osobowe, a wyciek tokena to aktywna ścieżka dostępu.

Każdy dziennik załączony do biletu dostawcy lub wklejony do czatu AI poszerza krąg osób i jurysdykcji, które mogą czytać oryginalne wartości. Dobra analiza dzienników szybko odpowiada na pytanie bez tworzenia drugiego incydentu.

Krótka historia analizy dzienników

Syslog, napisany przez Erica Allmana dla Sendmail w latach 80-tych XX wieku, został później ustandaryzowany w RFC 3164 (2001) i RFC 5424 (2009). Przez dwie dekady analiza dzienników oznaczała grep i awk na centralnym serwerze syslog.

Windows przeszedł na strukturalność. Windows Vista zastąpił format .evt oparte na XML formacie .evtx i model kanałów używany do dziś, a Sysmon (2014) dodał wysokoprecyzyjną telemetrię procesów i sieci.

Lata 2000. przyniosły SIEM. ArcSight, QRadar, a później Splunk stworzyły centralne wyszukiwanie i korelację jako kategorię produktów, a CEF ArcSighta jest nadal emitowana przez większość urządzeń sieciowych. Lata 2010. dodały otwarte stosy, takie jak ELK, i ścieżki audytu w chmurze, takie jak CloudTrail (2013).

W 2017 roku Sigma dała obrońcom format reguł niezależny od dostawcy. W tym samym roku SOC Prime zaczęła oznaczać reguły Sigma technikami MITRE ATT&CK i zastosowała to podejście do publicznego śledztwa NotPetya. Mapowanie ATT&CK od tego czasu stało się domyślnym oczekiwaniem dla treści detekcyjnej.

Dokąd zmierza analiza dzienników

Detekcja przesuwa się w górę strumienia. Zespoły uruchamiają reguły Sigma na strumieniowych zdarzeniach w rurociągu, zanim dane dotrą do SIEM, obniżając koszty przechowywania i skracając średni czas wykrycia z godzin do minut.

Korelacja bije pojedyncze alerty. Izolowane niskowiernościowe dopasowania to szum. Logika wyższego rzędu, która łączy techniki przez hosty i okna czasowe w łańcuchy ataków, daje analitykom coś do potwierdzenia lub zamknięcia.

Triaga AI napotyka limity przetwarzania danych. LLMs wyjaśniają drzewa procesów i podsumowują osie czasu dobrze, ale wysyłanie surowej telemetrii do dostawcy modeli podnosi pytania o prywatność i umowy, a modele awangardowe mogą odmawiać treści dotyczących bezpieczeństwa. Podczas incydentu z interwencją HuggingFace w lipcu 2026 roku, próba wysłania około 17 000 zdarzeń do modeli awangardowych została zablokowana przez ograniczenia.

Pseudonimizacja staje się etapem rurociągu. Statyczne maskowanie niszczy korelację, a zwykłe haszowanie można odwrócić przez zgadywanie słownikowe. Tokeny HMAC z kluczem zachowują powiązania, usuwając wartości. Spodziewaj się tego kroku przed każdym zewnętrznym przeznaczeniem: usługami AI, wsparciem dostawców, MSSP i współdzielonymi jeziorami danych.

Zalety analizy dzienników

• Szybsze określanie zakresu dla odpowiedzialnych za incydenty. Skorelowana oś czasu odpowiada na „które hosty, które konta, od kiedy” w ciągu minut, co napędza zatrzymanie i skraca czas wykrycia.
• Zatwierdzone detekcje dla inżynierów. Odtwarzanie dzienników przeciwko logice reguł pokazuje, które reguły Sigma się uruchamiają, które są hałaśliwe i które techniki ATT&CK nie mają pokrycia.
• Dowody zgodności. PCI DSS Wymaganie 10, ISO/IEC 27001 kontrola A.8.15 i NIS2 wszystkie oczekują, że zdarzenia bezpieczeństwa będą rejestrowane i przeglądane.
• Przyczyna źródłowa dla administratorów. Wynik journalctl, który wyjaśnia nieudane działanie usługi, często ujawnia błędną konfigurację, którą można wykorzystać.
• Niższy koszt SIEM. Możesz przeanalizować tymczasowe źródło raz bez jego dołączania.
• Bezpieczniejsza współpraca. Pseudonimizowane dzienniki pozwalają konsulentowi, MSSP lub TAC dostawcy na klastrowanie hostów i użytkowników bez widzenia prawdziwych tożsamości.

Przypadki użycia analizy dzienników

Triaga niezarządzanego hosta. Podejrzewa się, że laptop kontraktora bez EDR został naruszony. Wyeksportuj dzienniki Security, Sysmon i PowerShell i sprawdź wyniki LogTotal pod kątem dostępu do kredencjałów (T1003), wykonania PowerShell (T1059.001) oraz zaplanowanych zadań (T1053.005) przed ponownym obrazowaniem.

Przejęcie konta w chmurze. Po nieznanym ConsoleLogin, wyciągnij 72 godziny logowań CloudTrail i Entra ID i poszukaj nowych kluczy dostępu, zmian MFA i edycji polityki IAM.

Zewnętrzni doradcy IR i TAC dostawcy. Sanituj dowody kluczem, który trzymasz. Trzecia strona nadal klastruje hosty i użytkowników za pomocą tokenów, a ty mapujesz tokeny z powrotem wewnętrznie.

Inżynieria detekcji. Odgrywaj dzienniki Atomic Red Team lub Caldera, aby potwierdzić, które reguły się aktywują, a następnie sanituj dane, zanim dotrą one do Git lub artefaktów CI.

Recenzje prywatności. Pseudonimizacja z kluczem jest udokumentowanym środkiem technicznym zgodnie z Artykułem 32 RODO: co zostało zastąpione, jak generowane były tokeny, kto posiada klucz.

Jak przeprowadzić analizę dzienników: lokalizowanie i eksportowanie dzienników według platformy

Każda poniższa procedura kończy się w formacie, który LogTotal czyta natywnie: EVTX, CEF, JSON/NDJSON lub syslog. Najpierw napraw okno czasu w UTC i zakres, a następnie zahaszuj każdy eksport (Get-FileHash lub sha256sum) dla łańcucha zachowania.

Windows (EVTX). Wymaga powłoki z podwyższonym poziomem jako lokalny Administrator. Pliki .evtx na żywo w %SystemRoot%System32winevtLogs są zablokowane przez usługę Dziennika Zdarzeń, więc eksportuj je z wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl „Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

Dodaj /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” aby ograniczyć eksport do 24 godzin. Ścieżka GUI: eventvwr.msc → Dzienniki Windows → Zabezpieczenia → Zapisz wszystkie zdarzenia jako…

Linux (syslog lub NDJSON). Wymaga root lub członkostwa w adm / systemd-journal. Skopiuj /var/log/auth.log (Debian/Ubuntu) lub /var/log/secure (RHEL). Dla journald:

sudo journalctl –since „2026-10-20” –until „2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Wymaga cloudtrail:LookupEvents. CloudTrail → Historia zdarzeń → Pobierz zdarzenia → Pobierz JSON pokrywa 90 dni zdarzeń zarządzania. Z koszyka trace (s3:GetObject, kms:Decrypt), spłaszcz rekordy do NDJSON:

zcat ./ct/*.json.gz | jq -c ’.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID i Microsoft 365 (JSON). Centrum administracyjne Entra → Tożsamość → Monitoring i zdrowie → Dzienniki logowania → Pobierz → JSON (rola Czytelnik raportów). Dla danych audytu Purview, pomiń eksport CSV i pobieraj bezpośrednio JSON (rola Dziennik audytów):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Urządzenia sieciowe (CEF). Przełącz urządzenie na CEF (na FortiGate: config log syslogd setting → set format cef) i eksportuj linie zawierające CEF:0| z kolektora syslog.

Oferta SOC Prime dla analizy dzienników

• Threat Detection Marketplace: 1,000,000+ natywnych reguł detekcji Sigma, przetłumaczonych na języki SIEM, EDR i jeziora danych oraz oznaczonych ATT&CK.
• Prime Hunt: skanuje dane historyczne SIEM, EDR i jezior danych przy pomocy odpowiednich reguł oraz wniosków z łańcuchów ataku.
• Prime Detect: uruchamia reguły Sigma na strumieniowych zdarzeniach przed SIEM i koreluje je w łańcuchy ataku w czasie rzeczywistym.
• Uncoder.IO: tłumaczy reguły Sigma i Roota na języki natywne.
• LogTotal: darmowa, analiza bez rejestracji eksportowanych plików dzienników z sanitacją w przeglądarce.
• logtotal-sanitizer: silnik Apache 2.0 za LogTotal, jako biblioteka Node.js i CLI do użytku lokalnego lub air-gapped.

LogTotal obejmuje przypadek, o którym mowa w tym przewodniku: plik z źródła poza twoim SIEM lub taki, którego nie możesz udostępnić w surowej postaci. Każda analiza działa na jednorazowym, dedykowanym instancji silnika DetectFlow SOC Prime i jest usuwana po zakończeniu.

Jak działa analiza dzienników z LogTotal

LogTotal jest darmowy, nie wymaga konta i sanitizuje pliki w twojej przeglądarce, zanim cokolwiek zostanie przesłane. SOC Prime nie przechowuje dzienników po analizie ani nie uczy się na nich.

1. Otwórz logtotal.com w obecnej wersji Chromium, Firefox lub Safari.
2. Załaduj eksport. Przeciągnij plik .evtx, .log, .json lub .ndjson. Format jest wykrywany automatycznie.
3. Przegląd sanitacji. Sekrety, pliki cookie, identyfikatory płatności, IP, nazwy hostów, nazwy użytkowników i ścieżki katalogu domowego stają się tokenami HMAC-SHA-256 z kluczem, takimi jak <USER:…> lub <IP:…>. Identyczne wartości otrzymują identyczne tokeny, więc dziesięć rozpylanych kont nadal wygląda jak dziesięciu użytkowników.
4. Pobierz zsanitizowaną kopię dla twojego pliku sprawy. Jest dokładnie analizowana.
5. Uruchom analizę. Zdarzenia są sprawdzane w około 1 000 000 reguł detekcji i 13 000 etykiet, a następnie korelowane z regułami Sigma wyższego rzędu i agentyczną AI. SOC Prime odnotowuje do 1,7 miliona zdarzeń w mniej niż minutę.
6. Przeczytaj wyniki. Detekcje są mapowane do ATT&CK, grupowane w łańcuchy ataku i wyjaśniane przez AI. Token, który pojawia się zarówno w wynikach dotyczącymi dostępu do credencji, jak i ruchu bocznego, to twoje konto do zresetowania.

Dla kilku hostów lub gdy przesyłanie plików w przeglądarce jest zabronione, sanitizuj lokalnie przy użyciu open-source CLI (Node.js 20+) i użyj jednego klucza, aby tokeny pasowały między plikami:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key „$KEY”