Стежити LogTotal від SOC Prime тепер підтримує експорт логів з чотирьох основних SIEM і EDR платформ: Google SecOps, CrowdStrike Falcon LogScale / Next-Gen SIEM, Microsoft Defender for Endpoint (MDE) та Microsoft Sentinel. Кожна платформа використовує свої формати файлів, назви полів та модель даних. LogTotal автоматично обробляє ці відмінності, щоб команди безпеки могли завантажувати експорти без змін і отримувати такий самий рівень аналізу з кожного джерела. Підтримка Splunk, IBM QRadar та OpenSearch/Elasticsearch планується в майбутньому.
Що нового: чотири платформи, один аналізатор
Новопідтримувані платформи пропонують різні моделі даних і різні опції експорту:
| Платформа | Модель даних | Експорти, задокументовані постачальником |
| Google SecOps | Уніфікована модель даних (UDM), створена парсерами, які нормалізують сирі логи | Події виявлення у вигляді CSV, до 100,000 событий |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | Нативні назви полів сенсора Falcon; дані від третіх сторін обробляються до CrowdStrike Parsing Standard (CPS), на основі ECS | CSV, JSON та простий текст |
| Microsoft Defender for Endpoint | Схема розширеного полювання, з таблицями, такими як DeviceProcessEvents | Результати розширеного полювання як Excel файл; CSV з керованого режиму |
| Microsoft Sentinel | Таблиці Log Analytics, запитувані за допомогою KQL; опційна нормалізація ASIM | Результати запиту у вигляді CSV з вікна Logs |
Для жодної з них не потрібні конвертаційні скрипти, перейменування полів або кустомні парсери.
Те ж подія, чотири різні описи
Кожна платформа записує ту саму активність по-своєму. Одиничний запуск процесу має різні назви полів в залежності від того, звідки його експортували:
| Що шукає виявлення | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| Командний рядок нового процесу | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| Новий образ процесу | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| Батьківський або ініціюючий процес | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
Відмінності виходять за межі назв:
- Різні назви для одного поля. Одна концепція, така як командний рядок, має різні назви на кожній платформі.
- Різна структура. UDM вкладає поля під principal і target, у той час як MDE і Falcon використовують плоскі назви колонок. Деякі значення розділені серед полів, такі як FolderPath і FileName в MDE.
- Різні назви на одній платформі. Next-Gen SIEM зберігає нативні назви Falcon для телеметрії сенсора і використовує назви CPS на основі ECS для даних від третіх сторін. Обидва можуть з’явитися в одному експорті.
Зазвичай аналітики долають ці відмінності вручну перед тим, як може бути виконано одне правило. З LogTotal ці відмінності більше не ваша проблема.
Як LogTotal обробляє формати файлів
LogTotal детектує формат файлу за вас. SOC Prime документує автоматичне виявлення EVTX, CEF, JSON і syslog, без ручної конвертації. LogTotal приймає завантажені або вставлені .log, .json, .jsonl, .evtx та .txt файли до 3 ГБ або 3,000,000 подій і обробляє до 1.7 мільйонів подій менш ніж за хвилину.
Платформи, покриті тут, найбільше різняться тим, як вони упаковують записи:
- Єдиний масив JSON. JSON експорт LogScale загортає всі події в один масив. LogTotal читає кожен елемент як окрему подію.
- CSV експорт. Google SecOps, MDE advanced hunting і Sentinel Logs експортують результати запитів як файли CSV, причому кожен заголовок колонки названий на честь поля у схемі тієї платформи.
Вам не потрібно згладжувати вкладений JSON, перейменовувати колонки або переупорядковувати поля перед завантаженням. Очистка потім відбувається локально у вашому браузері над розібраними подіями, так що однакові ідентифікатори токенізуються однаково, незалежно від формату, в якому вони прибули.
Як LogTotal обробляє назви полів та відображення
LogTotal відображає назви полів кожної платформи на поля, які очікує його логіка виявлення, так що одне правило коректно оцінюється проти всіх чотирьох схем. Користувачі не підтримують відображення, не пишуть парсери і не вибирають схему.
Це базується на роботі з відображення, яку SOC Prime вже виконує для свого контенту виявлення. Матриця підтримки платформи SOC Prime перераховує правила для Google SecOps, написані проти схеми даних UDM, та Kusto-запити для MDE і Sentinel, написані проти їхніх стандартних схем. LogTotal застосовує ті ж знання до експортованих файлів.
Після відображення, події з усіх чотирьох платформ проходять через той самий конвеєр: близько 1,000,000 правил виявлення і 13,000 міток загроз, пов’язаних з правилами Sigma вищого порядку та агентним AI у ланцюги атак, відображені на MITRE ATT&CK.
Що це означає для команд безпеки
Відмінності у форматі та схемі – це проблема LogTotal, а не ваша. На практиці:
- Експортуйте так, як ви вже робите. Використовуйте стандартний експорт вашої платформи та завантажуйте файл як є.
- Змішуйте джерела в одному розслідуванні. Логи з різних платформ аналізуються з однаковими правилами та кореляцією, тому результати порівнянні.
- Тримайте свої ідентифікатори в приватності. Очищення замінює імена хостів, IP-адреси, імена користувачів та секрети сталими HMAC токенами перед завантаженням. Ви зберігаєте ключ і можете внутрішньо співставляти токени.
- Отримуйте той самий рівень деталізації на кожній платформі. Охоплення правил не залежить від того, який SIEM або EDR створив файл.
Для досягнення найкращих результатів експортуйте поля, які містять цінність для виявлення, такі як процес, командний рядок, батьківський процес, користувач, вузол і мережеві деталі, а не скорочений огляд. Де платформа пропонує обидва, віддавайте перевагу повному експорту подій над підмножиною стовпців.
Планується в найближчому майбутньому
Підтримка експорту з Splunk, IBM QRadarта OpenSearch/Elasticsearch планується. Ці платформи приносять свої власні конвенції, такі як назви полів ECS від Elastic. Досвід залишиться тим самим: експортуйте, завантажуйте та дозвольте LogTotal обробляти формати і відображення полів.
