Análise de Logs com LogTotal

O que é Análise de Logs?

Análise de logs é a prática de coletar, analisar, normalizar e consultar registros de eventos gerados por máquinas para responder a uma questão operacional ou de segurança. Em um SOC, essa questão geralmente é específica: essa conta autenticou-se de uma fonte inesperada, esse host iniciou um processo filho incomum, quais chamadas de API antecederam a transferência de dados.

O material bruto é heterogêneo: canais de Segurança e Sysmon do Windows em arquivos .evtx, auth.log do Linux e saída de journald, eventos de firewall e proxy em CEF, e trilhas de auditoria de nuvem como AWS CloudTrail ou logs de acesso do Microsoft Entra ID exportados como JSON.

Um pipeline de análise de logs funcional possui quatro estágios:

1. Coleta. Exportar eventos da fonte sem perder campos ou timestamps.
2. Normalização. Mapear src_ip, IpAddress e sourceIPAddress para um único esquema comum.
3. Detecção. Executar regras Sigma ou do fornecedor e marcar cada acerto com técnicas MITRE ATT&CK.
4. Correlação. Agrupar acertos relacionados em uma linha do tempo ou cadeia de ataque que um analista pode validar.

Por que a Análise de Logs é importante para Detecção e Resposta

Os logs são frequentemente o único registro que sobrevive a uma intrusão. A telemetria de EDR é sobreposta, a memória é perdida na reinicialização e a captura de pacotes raramente está em execução quando necessária. IDs de Evento do Windows 4624, 4672 e 4688, ou chamadas do CloudTrail como ConsoleLogin e CreateAccessKey, são tipicamente as evidências primárias para delimitar um incidente.

Três pressões fazem da análise de logs uma habilidade central do SOC, em vez de um recurso do SIEM:

• Volume. Um único incidente pode produzir milhões de eventos, e grep só encontra o que você já sabe procurar.
• Lacunas de cobertura. Laptops de contratados, segmentos OT e locatários SaaS que ninguém conectou não estão no SIEM, mas seus logs ainda precisam ser analisados.
• Manipulação de dados. Os logs contêm nomes de usuários, nomes de hosts, IPs, cookies de sessão e tokens de segurança. Sob o GDPR, muitos deles são dados pessoais, e um token vazado é um caminho de acesso ativo.

Cada log anexado a um ticket de fornecedor ou colado em um chat de IA amplia o círculo de pessoas e jurisdições que podem ler os valores originais. Uma boa análise de logs responde à questão rapidamente sem criar um segundo incidente.

Uma Breve História da Análise de Logs

Syslog, escrito por Eric Allman para o Sendmail no início dos anos 80, foi posteriormente padronizado no RFC 3164 (2001) e RFC 5424 (2009). Por duas décadas, a análise de logs significava grep e awk em um servidor central de syslog.

O Windows tornou-se estruturado. O Windows Vista substituiu o formato .evt legado pelo formato XML com base em .evtx e o modelo de canal ainda usado hoje, e o Sysmon (2014) adicionou telemetria de processos e redes de alta fidelidade.

Meados dos anos 2000 trouxeram o SIEM. ArcSight, QRadar, e posteriormente o Splunk, tornaram a busca centralizada e correlação uma categoria de produto, e o CEF do ArcSight ainda é emitido pela maioria dos aparelhos de rede. Os anos 2010 adicionaram pilhas abertas como o ELK e trilhas de auditoria em nuvem como o CloudTrail (2013).

Em 2017, Sigma deu aos defensores um formato de regras neutro em relação aos fornecedores. No mesmo ano, o SOC Prime começou a etiquetar regras Sigma com técnicas MITRE ATT&CK e aplicou a abordagem à investigação pública do NotPetya. O mapeamento ATT&CK desde então se tornou uma expectativa padrão para conteúdo de detecção.

Para onde a Análise de Logs está se direcionando

A detecção se move para montante. As equipes executam regras Sigma em eventos de streaming no pipeline antes que os dados cheguem ao SIEM, reduzindo o custo de armazenamento e diminuindo o tempo médio para detectar de horas para minutos.

A correlação supera alertas únicos. Matches isolados de baixa fidelidade são ruído. A lógica de ordem superior que vincula técnicas entre hosts e janelas de tempo em cadeias de ataque dá aos analistas algo para confirmar ou fechar.

A triagem por IA encontra limites de manipulação de dados. LLMs explicam árvores de processos e resumem cronogramas bem, mas enviar telemetria bruta para um provedor de modelos levanta questões de privacidade e contrato, e modelos de fronteira podem recusar conteúdo de segurança. Durante a resposta ao incidente do HuggingFace em julho de 2026, uma tentativa de enviar cerca de 17.000 eventos para modelos de fronteira foi bloqueada por guardrails.

A pseudonimização torna-se uma etapa do pipeline. A máscara estática destrói a correlação, e hashes simples podem ser revertidos por adivinhação de dicionário. Os tokens HMAC com chave mantêm os relacionamentos intactos enquanto removem os valores. Espere essa etapa em frente a cada destino externo: serviços de IA, suporte ao fornecedor, MSSPs, e lakes de dados compartilhados.

Benefícios da Análise de Logs

• Escopo mais rápido para respondedores de incidentes. Uma linha do tempo correlacionada responde “quais hosts, quais contas, desde quando” em minutos, o que impulsiona o confinamento e reduz o tempo de permanência.
• Detecções validadas para engenheiros. Reexecutar logs contra a lógica de regras mostra quais regras Sigma disparam, quais são barulhentas e quais técnicas ATT&CK não têm cobertura.
• Evidência de conformidade. O Requisito 10 do PCI DSS, o controle A.8.15 da ISO/IEC 27001, e o NIS2 todos esperam que eventos de segurança sejam registrados e revisados.
• Causa raiz para administradores. A saída do journalctl que explica um serviço falhado frequentemente revela uma configuração errada que um invasor poderia explorar.
• Custo menor de SIEM. Você pode analisar uma fonte temporária uma vez sem incorporá-la.
• Colaboração mais segura. Logs pseudonimizados permitem que um retentor, MSSP ou TAC de fornecedor agrupe hosts e usuários sem ver identidades reais.

Casos de Uso da Análise de Logs

Triagem de host não gerenciado. Um laptop de contratante sem EDR é suspeito de comprometimento. Exporte logs de Segurança, Sysmon e PowerShell e verifique as descobertas do LogTotal para acesso a credenciais (T1003), execução de PowerShell (T1059.001) e tarefas agendadas (T1053.005) antes de fazer a reimagem.

Aquisição de conta em nuvem. Após um ConsoleLogin desconhecido, puxe 72 horas de CloudTrail e logins do Entra ID e verifique novas chaves de acesso, mudanças de MFA e edições de política IAM.

Retentores de IR externos e TAC de fornecedor. Sanitize as evidências com uma chave que você guarde. A terceira parte ainda agrupa hosts e usuários por token, e você mapeia tokens internamente.

Engenharia de detecção. Reexecute logs do Atomic Red Team ou Caldera para confirmar quais regras disparam, então sanitize os fixtures antes que eles cheguem ao Git ou artefatos de CI.

Revisões de privacidade. Pseudonimização com chave é uma medida técnica documentável sob o Artigo 32 da GDPR: o que foi substituído, como os tokens foram gerados, quem detém a chave.

Como realizar análise de logs: localizar e exportar logs por plataforma

Cada procedimento abaixo termina em um formato que o LogTotal lê nativamente: EVTX, CEF, JSON/NDJSON ou syslog. Fixe a janela de tempo UTC e o escopo primeiro, e hash cada exportação (Get-FileHash ou sha256sum) para cadeia de custódia.

Windows (EVTX). Requer um shell elevado como Administrador local. Os arquivos .evtx ao vivo em %SystemRoot%System32winevtLogs são bloqueados pelo serviço de Log de Eventos, então exporte-os com wevtutil:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

Adicione /q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” para limitar a exportação a 24 horas. Caminho da GUI: eventvwr.msc → Logs do Windows → Segurança → Salvar Todos os Eventos Como…

Linux (syslog ou NDJSON). Requer root ou associação em adm / systemd-journal. Copie /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL). Para journald:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON). Requer cloudtrail:LookupEvents. CloudTrail → Histórico de eventos → Baixar eventos → Baixar JSON cobre 90 dias de eventos de gerenciamento. De um bucket de trilhas (s3:GetObject, kms:Decrypt), achate os registros em NDJSON:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID e Microsoft 365 (JSON). Centro de administração Entra → Identidade → Monitoramento e saúde → Logs de login → Baixar → JSON (papel de Leitor de Relatórios). Para dados de auditoria Purview, pule a exportação CSV e puxe o JSON diretamente (papel de Logs de Auditoria):

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

Dispositivos de rede (CEF). Mude o dispositivo para CEF (no FortiGate: config log syslogd setting → set format cef) e exporte linhas contendo CEF:0| do coletor syslog.

Ofertas da SOC Prime para Análise de Logs

• Threat Detection Marketplace: mais de 1.000.000 de regras de detecção nativas Sigma, traduzidas para SIEM, EDR e linguagens de data lake e marcadas com ATT&CK.
• Prime Hunt: escaneia dados históricos de SIEM, EDR e data lake com regras relevantes e infere Cadenas de Ataque a partir dos resultados.
• Prime Detect: executa regras Sigma em eventos de streaming antes do SIEM e os correlaciona em Cadenas de Ataque em tempo real.
• Uncoder.IO: traduz regras Sigma e Roota em consultas nativas.
• LogTotal: análise gratuita, sem cadastro, de arquivos de log exportados com sanitização no navegador.
• logtotal-sanitizer: o mecanismo Apache 2.0 por trás do LogTotal, como uma biblioteca Node.js e CLI para uso on-prem ou em ambiente isolado.

O LogTotal cobre o caso de que este guia trata: um arquivo de uma fonte fora do seu SIEM, ou um que você não pode compartilhar bruto. Cada análise é executada em uma instância descartável e dedicada do mecanismo DetectFlow da SOC Prime e é excluída depois.

Como a Análise de Logs com o LogTotal Funciona

O LogTotal é gratuito, não precisa de conta e sanitiza arquivos no seu navegador antes de qualquer upload. A SOC Prime não retém logs após a análise nem treina com eles.

1. Abra logtotal.com em uma versão atual do Chromium, Firefox ou Safari.
2. Carregar a exportação. Solte o arquivo .evtx, .log, .json ou .ndjson. O formato é detectado automaticamente.
3. Revisar a sanitização. Segredos, cookies, IDs de pagamento, IPs, nomes de hosts, nomes de usuários e caminhos de diretórios domésticos tornam-se tokens HMAC-SHA-256 com chave, como <USER:…> ou <IP:…>. Valores idênticos recebem tokens idênticos, então dez contas pulverizadas ainda parecem dez usuários.
4. Baixe a cópia sanitizada para seu arquivo de caso. É exatamente o que foi analisado.
5. Execute a análise. Os eventos são verificados em aproximadamente 1.000.000 de regras de detecção e 13.000 etiquetas, depois correlacionados com regras Sigma de ordem superior e IA agentica. A SOC Prime cita até 1,7 milhão de eventos em menos de um minuto.
6. Leia as descobertas. As detecções são mapeadas para ATT&CK, agrupadas em cadeias de ataque e explicadas por IA. Um token que aparece em descobertas de acesso a credenciais e movimento lateral é sua conta a ser redefinida.

Para vários hosts, ou quando uploads de navegador são proibidos, sanitize localmente com o CLI de código aberto (Node.js 20+) e reutilize uma chave para que os tokens correspondam entre arquivos:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”