Як LogTotal очищує журнали перед аналізом

Перед тим, як LogTotal запускає будь-яку логіку виявлення на файлі в текстовому форматі, CSV або JSON, він замінює ідентифікуючі значення на заповнювачі: імена користувачів, імена хостів, IP-адреси та подібне. Потім він показує вам результат для перегляду перед початком аналізу. Завантажені файли не зберігаються після аналізу. Файли EVTX наразі є винятком: вони аналізуються так, як завантажувалися, без етапу санітарізації.

Заперечення проти онлайн-аналізу логів є справедливим. Логи переповнені внутрішніми іменами, адресами і іноді тим, що ніхто не мав на увазі логувати взагалі. Ця сторінка пояснює, що LogTotal маскує, що навмисно залишає незмінним і що вам все одно слід перевірити самостійно.

Почніть безкоштовно

Що залишається як є, і чому

Логіка виявлення стосується поведінки, а не імен. Щоб виявити атаку spray пароль або закодоване завантаження PowerShell, правила потребують ID подій, імена процесів і файлів, структуру командного рядка, порти, протоколи та часові мітки. Маскування цих елементів засліпило б аналіз, не забезпечуючи при цьому значного захисту.

Те саме значення, той самий заповнювач

Маскування працює для розслідування, тільки якщо воно послідовне. Якщо jane.doe стає user_1 на кожному рядку, ви все одно можете бачити, що user_1 не вдалося ввійти 40 разів з однієї адреси, а потім вийшло. Якщо кожне ім’я користувача ставало б іншою випадковою строкою, цей шаблон зник би. Послідовні заповнювачі зберігають історію неушкодженою, виймаючи з неї імена.

Ваше завдання: перегляньте перед тим, як продовжити

Автоматичне маскування захоплює загальні форми. Вона не знає вашого середовища. Перш ніж продовжити етап санітарізації, шукайте:

• секрети всередині текстових повідомлень, такі як паролі, введені в командних рядках, або API ключі в повідомленнях про помилки;
• замість імена, які зберігають імена, такі як ticket_owner або approved_by;
• кодові імена проектів або клієнтів, приховані в іменах хостів або шляхах;
• персональні дані всередині URL-адрес і рядків запитів.

Якщо ви помітите щось, очистіть це у файлі перед завантаженням. Один рядок sed обробить більшість випадків:

sed -E 's/(password|token|apikey)=[^&[:space:]]+/1=REDACTED/Ig' in.log > clean.log

EVTX: ще не санітизовано

Файли EVTX аналізуються так, як завантажувалися, без етапу санітарізації. Використовуйте завантаження EVTX вільно для тестових машин. Для виробничих хостів отримайте схвалення від власника даних спочатку. Якщо вам потрібна санітарізація вже сьогодні, конвертуйте файл у JSON рядки з відкритим виходом evtx_dump і завантажте його:

evtx_dump -o jsonl Security.evtx > Security.jsonl