Zanim LogTotal uruchomi jakąkolwiek logikę wykrywania na zwykłym tekście, pliku CSV lub JSON, zastępuje wartości identyfikujące z użyciem zastępczych etykiet: nazwy użytkowników, nazwy hostów, adresy IP i podobne. Następnie pokazuje wynik do przeglądu przed rozpoczęciem analizy. Przesłane pliki nie są przechowywane po analizie. Pliki EVTX są na razie wyjątkiem: są analizowane tak, jak przesłano, bez […]
Jak eksportować logi z dowolnego SIEM do darmowej analizy
Każdy SIEM może zwrócić swoje dane w jednym z dwóch formatów: oryginalnych surowych wydarzeń lub własnym przetworzonym JSON. Do analizy poza SIEM, surowe wydarzenia są niemal zawsze lepszym wyborem. Wyeksportuj je wąskim oknem czasowym przez API lub CLI, nie przez przeglądarkę. Poniższa tabela pokazuje najlepszą drogę dla każdej głównej platformy, z linkiem do pełnego przewodnika. […]
Jakie formaty dzienników można analizować w LogTotal?
LogTotal akceptuje trzy rodzaje plików: dzienniki zdarzeń systemu Windows w formacie EVTX, JSON (najlepiej działa jeden zdarzenie na linię) i tekst w stylu syslog. Przesłane pliki w formacie tekstowym i JSON przechodzą przez krok oczyszczania przed analizą; pliki EVTX jeszcze tego nie robią. Jeśli Twoje dzienniki są w innym formacie, prawie zawsze istnieje jedno polecenie, […]
Uprawnienia do Dzienników Zdarzeń Windows: Kto Może Eksportować EVTX
Administratorzy mogą odczytywać i eksportować każdy dziennik zdarzeń, ale tylko z podniesionego wiersza poleceń. Dla wszystkich innych, wbudowana grupa Czytelnicy dzienników zdarzeń umożliwia dostęp do odczytu większości dzienników, lokalnie i zdalnie, bez uprawnień administratora. Dodaj konto za pomocą net localgroup „Event Log Readers” <użytkownik> /add, a następnie wyloguj się i zaloguj ponownie. Kilka kanałów ustawia […]
Jak czytać logi Linuxa bez uprawnień root (Przewodnik po uprawnieniach)
Na większości dystrybucji dwa członkostwa w grupach obejmują niemal wszystko, czego analityk potrzebuje: adm dla logów tekstowych w /var/log na Debianie i Ubuntu oraz systemd-journal dla pełnego dziennika systemowego. Dodaj konto z sudo usermod -aG adm,systemd-journal <user> i rozpocznij nową sesję logowania. Kilka logów pozostaje dostępnych tylko dla roota z założenia, zwłaszcza /var/log/secure i /var/log/messages […]
CVE-2026-112816: Krytyczna luka w uwierzytelnianiu LXD i MicroCloud umożliwia przejęcie klastra
Canonical opublikował poprawki bezpieczeństwa dotyczące CVE-2026-112816, krytycznej luki umożliwiającej ominięcie uwierzytelnienia, wpływającej na LXD i MicroCloud. Luka otrzymała maksymalną ocenę CVSS wynoszącą 10,0 i może pozwolić niezalogowanemu atakującemu zdalnie podszywać się pod zaufanego klienta TLS bez posiadania klucza prywatnego tego klienta. Pomyślne wykorzystanie tej luki może zapewnić dostęp do LXD lub MicroCloud API z uprawnieniami […]
Wykrywanie przed SIEM dla MSSP
tl;dr Prime Detect uruchamia reguły wykrywania na strumieniach zdarzeń klientów, zanim dane trafią do SIEM. Zastosowuje reguły Sigma do wydarzeń w tranzycie, oznacza każdy dopasowany element poziomem ważności i techniką MITRE ATT&CK, oraz łączy powiązane dopasowania w łańcuchy ataków. W testach u klienta około 7% telemetry zostało oznaczone. MSSP używają Prime Detect, aby zapewnić każdemu […]
Wykrywanie przed-SIEM dla usług finansowych
tl;dr Prime Detect uruchamia reguły detekcji na strumieniu zdarzeń przed dotarciem danych do SIEM. Stosuje reguły Sigma do zdarzeń w tranzycie, taguje każdy dopasowany przypadek z poziomem ważności i techniką MITRE ATT&CK oraz łączy powiązane przypadki w łańcuchy ataków. W testach klientów, około 7% telemetrii zostało otagowanych. To ta część, którą warto wysłać do SIEM. […]
Jak eksportować logi z Elasticsearch i Kibana
Użyj krótkiego skryptu Pythona z pomocnikami klienta oficjalnego.helpers.scan, lub API _search z punktem w czasie (PIT) i search_after. Dla szybkich odbiorów do 10 000 wierszy, ES|QL z format=json działa bezpośrednio z Narzędzi Deweloperskich Kibana. Kibana Discover również może wygenerować raport, ale nie w formacie, który LogTotal odczytuje dzisiaj. Jeśli twoja integracja to zachowała, event.original zawiera […]
Jak eksportować dane zdarzeń z CrowdStrike Falcon
Aby przeprowadzić ukierunkowane pobranie, uruchom swoje zapytanie w zaawansowanym wyszukiwaniu zdarzeń Falcon i eksportuj wyniki jako JSON. W przypadku masowej surowej telemetrii, Falcon Data Replicator (FDR) dostarcza twoje zdarzenia do koszyka S3 jako skompresowane JSON-y, jedno zdarzenie na linię. Pamiętaj, co otrzymujesz: własną telemetrię sensorów Falcon (procesy, sieć, DNS, zdarzenia logowania), a nie oryginalne logi […]
