Seguir LogTotal aceita três tipos de arquivos: logs de eventos do Windows em EVTX, JSON (um evento por linha funciona melhor) e texto no estilo syslog. As cargas de texto e JSON passam pela etapa de sanitização antes da análise; arquivos EVTX ainda não. Se seus logs estão em outro formato, quase sempre há um comando de linha única que os converte. Os mais comuns estão listados abaixo.
LogTotal é o serviço gratuito da SOC Prime para executar lógica de detecção em um arquivo de log sem precisar configurar nada: envie, sanitize, revise. Acertar o formato é a única parte que pode complicar, então esta página é a versão curta.
O que o LogTotal lê hoje
| Formato | Fontes típicas | Sanitizado antes da análise? | Como obtê-lo |
|---|---|---|---|
| EVTX | Windows Security, System, Sysmon, PowerShell, Defender, DNS Server | Ainda não | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / Linhas JSON | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, auditoria Kubernetes, journalctl -o json, exportações de API SIEM | Sim | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Texto no estilo syslog | auth.log e secure, exportações raw do Splunk, cargas do QRadar, syslog de firewall | Sim | [sshd logs], [Splunk], [QRadar] |
| CSV | Downloads de sign-in/auditoria do Entra ID, exportações de logs de auditoria do Microsoft 365, exportações de auditoria do Google Workspace, resultados de pesquisa do Splunk / Sentinel / Kibana, Event Viewer “Salvar como CSV” | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Acertando o JSON
Um evento por linha é o formato mais seguro. Muitas ferramentas envolvem eventos em arrays ou envelopes. Achate-os antes de enviar:
| Você tem | Achate com |
|---|---|
| Um array JSON (gcloud, az, muitas APIs) | jq -c ‘.[]’ in.json > out.jsonl |
| Arquivos de log CloudTrail | jq -c ‘.Records[]’ *.json > out.jsonl |
| resultado de consulta do aws cloudtrail | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| Eventos de Logs do CloudWatch | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Exportação JSON REST do Splunk | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Atenção à codificação no Windows. O Windows PowerShell 5.1 escreve em UTF-16 quando você usa > ou Out-File sem opções. Adicione -Encoding utf8, como todo exemplo de PowerShell em nossos guias faz.
Mantenha o fuso horário. Timestamps ISO 8601 com Z ou um deslocamento fazem os resultados alinharem com outras fontes. Timestamps clássicos de syslog não têm ano nem fuso; observe o fuso horário da fonte quando os enviar.
Convertendo o que o LogTotal não lê
| Você tem | Converta com |
|---|---|
| arquivos de diário systemd (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Um .logarchive do macOS | log show –archive <file> –style json > out.json (em um Mac) |
| EVTX, mas você quer a etapa de sanitização | evtx_dump -o jsonl in.evtx > out.jsonl |
| Logs comprimidos com gzip | zcat -f in.log.gz > out.log |
| Uma exportação de planilha ou XML da interface web de um SIEM | Reexporte através da API ou CLI da plataforma; veja |
Tamanho
split -l 200000 big.jsonl part_
Para EVTX, filtre durante a exportação com wevtutil /q
FAQ
O LogTotal guarda meus arquivos?
Não. Os envios são analisados e não são retidos.
Mais formatos serão suportados?
Sim. Adicionamos formatos regularmente, e esta página sempre lista o que funciona hoje.
