Стежити LogTotal приймає три види файлів: журнали подій Windows у форматі EVTX, JSON (одна подія на рядок працює найкраще) та текст у стилі syslog. Завантаження тексту та JSON проходять етап санітизації перед аналізом; файли EVTX ще не проходять цей етап. Якщо ваші журнали мають інший формат, майже завжди існує однокомандний спосіб їх конвертування. Найпоширеніші перераховані нижче.
LogTotal є безкоштовним сервісом від SOC Prime для запуску логіки виявлення на файлі журналу без налаштування: завантаження, очищення, перевірка. Правильний формат є єдиною частиною, яка може вас спантеличити, тому ця сторінка – короткий варіант.
Що LogTotal читає сьогодні
| Формат | Типові джерела | Очищено перед аналізом? | Як отримати |
|---|---|---|---|
| EVTX | Безпека Windows, Система, Sysmon, PowerShell, Defender, DNS Server | Ще ні | [EVTX export guide], [Sysmon], [PowerShell] |
| JSON / JSON рядки | CloudTrail, Entra ID, Microsoft 365, Google Cloud, Okta, Workspace, Kubernetes audit, journalctl -o json, експорт API з SIEM | Так | [CloudTrail], [Entra ID], [journalctl], [Sentinel] |
| Текст у стилі syslog | auth.log та secure, необроблені експорти Splunk, QRadar payloads, syslog файрволу | Так | [sshd logs], [Splunk], [QRadar] |
| CSV | Завантаження входу/аудиту Entra ID, експорт журналів аудиту Microsoft 365, експорт журналів аудиту Google Workspace, результати пошуку в Splunk / Sentinel / Kibana, Event Viewer «Зберегти як CSV» | Yes | [Entra ID CSV], [M365 audit export], [Splunk CSV], [Event Viewer CSV] |
Правильний формат JSON
Одна подія на рядок – це найкраща форма. Багато інструментів обгортають події в масиви або конверти. Розгорніть їх перед завантаженням:
| Ви маєте | Розгорніть за допомогою |
|---|---|
| JSON масив (gcloud, az, багато API) | jq -c ‘.[]’ in.json > out.jsonl |
| Файли журналів CloudTrail | jq -c ‘.Records[]’ *.json > out.jsonl |
| aws cloudtrail lookup-events output | jq -c ‘.Events[].CloudTrailEvent | fromjson’ in.json > out.jsonl |
| Події журналів CloudWatch | jq -c ‘.events[].message | fromjson’ in.json > out.jsonl |
| Експорт JSON через REST з Splunk | jq -c ‘select(.result) | .result’ in.json > out.jsonl |
Стежте за кодуванням на Windows. Windows PowerShell 5.1 пише UTF-16, коли ви використовуєте > або Out-File без опцій. Додайте -Encoding utf8, як це робить кожен приклад PowerShell в наших посібниках.
Зберігайте часовий пояс. Відмітки часу ISO 8601 з Z або зміщенням дозволяють узгодити результати з іншими джерелами. Класичні позначення syslog не мають року і зони; зазначте часовий пояс джерела, коли ви завантажуєте їх.
Конвертування того, що LogTotal не читає
| Ви маєте | Конвертуйте за допомогою |
|---|---|
| Файли журналу systemd (.journal) | journalctl -D <dir> -o json –no-pager > out.jsonl |
| Архів журналу macOS (.logarchive) | log show –archive <file> –style json > out.json (на Mac) |
| EVTX, але ви хочете етап санітизації | evtx_dump -o jsonl in.evtx > out.jsonl |
| Стиснуті журнали (Gzipped) | zcat -f in.log.gz > out.log |
| Експорт з таблиць або XML з веб-інтерфейсу SIEM | Повторно експортуйте через API або CLI платформи; дивіться |
Розмір
split -l 200000 big.jsonl part_
Для EVTX фільтруйте під час експортування з wevtutil /q
FAQ
Чи зберігає LogTotal мої файли?
Ні. Завантаження аналізуються та не зберігаються.
Чи будуть підтримуватися інші формати?
Так. Ми регулярно додаємо формати, і ця сторінка завжди містить те, що працює сьогодні.
