使用LogTotal进行日志分析

什么是日志分析？

日志分析是收集、解析、规范化和查询机器生成的事件记录以回答操作或安全问题的实践。在 SOC 中，这个问题通常非常明确：这个帐户是否从意外来源进行身份验证，这个主机是否生成了异常的子进程，哪些 API 调用在数据传输之前被调用。

原始材料是异构的：.evtx文件中的Windows安全和Sysmon通道，Linux的auth.log和journald的输出，CEF格式的防火墙和代理事件，以及AWS CloudTrail或Microsoft Entra ID登录日志等导出的云审核日志。

一个工作的日志分析管道包含四个阶段：

1. 收集。 从源中导出事件而不丢失字段或时间戳。
2. 规范化。 将 src_ip、IpAddress 和 sourceIPAddress 映射到一个共同的架构中。
3. 检测。 运行Sigma或供应商规则，并使用MITRE ATT&CK技术标记每个命中。
4. 关联。 将相关的命中分组到分析师可以验证的时间线或攻击链中。

免费开始

为什么日志分析对检测和响应很重要

日志通常是入侵后仅剩的记录。EDR遥测数据会翻转，内存在重启时丢失，而在需要时，数据包捕获很少在运行。Windows事件ID 4624、4672和4688，或CloudTrail调用如ConsoleLogin和CreateAccessKey，通常是定义事件范围的主要证据。

三种压力使日志分析成为核心SOC技能，而非SIEM功能：

• 数量。 一个事件可以产生数百万个事件，grep只能找到你已经知道要查找的内容。
• 覆盖缺口。 不在SIEM中的承包商笔记本电脑、OT段和无人连接的SaaS租户，其日志仍需分析。
• 数据处理。 日志包含用户名、主机名、IP、会话Cookie和Bearer令牌。在GDPR下，许多这些是个人数据，而泄露的令牌是一个活着的访问路径。

每个附加到供应商票据或粘贴到AI对话中的日志都会扩大可以阅读原始值的人员和司法管辖区。良好的日志分析快速回答问题而不会造成第二次事件。

日志分析的简短历史

Syslog由Eric Allman在20世纪80年代初为Sendmail编写，后来在RFC 3164（2001年）和RFC 5424（2009年）中标准化。二十年来，日志分析意味着在中央syslog服务器上使用grep和awk。

Windows开始结构化。Windows Vista 用基于XML的.evtx格式和至今仍使用的通道模型取代了旧的.evt格式，Sysmon（2014）增加了高保真度的进程和网络遥测。

2000年代中期引入了SIEM。ArcSight、QRadar和后来者Splunk将集中搜索和关联成为产品类别，而ArcSight的CEF仍是大多数网络设备发出的格式。2010年代增加了开放栈如ELK和云审核轨迹如CloudTrail（2013）。

2017年，Sigma为防守者提供了一个供应商中立的规则格式。同年，SOC Prime开始用MITRE ATT&CK技术标记Sigma规则，并将这一方法应用于公共NotPetya调查。ATT&CK映射从此成为检测内容的默认期望。

日志分析的未来走向

检测上移。 团队在数据到达SIEM之前在流式事件上运行Sigma规则，降低存储成本并将检测平均时间缩短到分钟。

关联超过单一告警。 孤立的低置信度匹配是噪声。将技术跨主机和时间窗口链接为攻击链的高阶逻辑为分析师提供确认或结束的依据。

AI分诊遇到数据处理限制。 大型语言模型（LLM）很好地解释进程树和总结时间线，但将原始遥测发送给模型提供商引发隐私和合同问题，而前沿模型可能直接拒绝安全内容。在2026年7月的HuggingFace事件响应中，尝试向前沿模型发送约17,000个事件被保护机制阻止。

假名化成为一个管道阶段。 静态掩盖破坏关联，普通散列可通过字典猜测反解。键控HMAC令牌在保留关系的同时移除值。预计这一步骤会在每个外部目的地之前：AI服务、供应商支持、MSSP和共享数据湖。

日志分析的好处

• 为事件响应人员提供更快的范围界定。 关联的时间线可以在几分钟内回答“哪些主机，哪些帐户，自何时起”，这推动了隔离并缩短了滞留时间。
• 为工程师验证检测结果。 重放日志以符合规则逻辑，显示哪个Sigma规则被触发，哪个是噪音，哪个ATT&CK技术没有得到覆盖。
• 合规性证据。 PCI DSS第10号要求、ISO/IEC 27001 A.8.15控制和NIS2都要求记录并审查安全事件。
• 管理员的根本原因。 解释服务失败的journalctl输出通常揭示攻击者可能滥用的错误配置。
• 降低SIEM成本。 您可以分析一个短暂的来源一次而无需开启它。
• 更安全的协作。 假名化日志让维持顾问、MSSP或供应商TAC在不知道真实身份的情况下对主机和用户进行集群。

日志分析的用例

未管理主机分类。 怀疑没有EDR的承包商笔记本电脑受到侵犯。导出Security、Sysmon和PowerShell日志，并在重新镜像之前检查LogTotal发现的凭据访问（T1003）、PowerShell执行（T1059.001）和计划任务（T1053.005）。

云账户盗用。 在陌生的ConsoleLogin后，提取72小时的CloudTrail和Entra ID登录，查找新的访问密钥、多重身份验证更改和IAM策略编辑。

外部IR顾问和供应商TAC。 用你持有的密钥清理证据。第三方仍然通过令牌对主机和用户进行集群，而你在内部映射令牌。

检测工程。 重放Atomic Red Team或Caldera日志以确认哪些规则触发，然后在它们进入Git或CI工件之前清理装置。

隐私评审。 键控假名化是GDPR第32条下可记录的技术措施：什么被替换，如何生成令牌，谁持有密钥。

如何进行日志分析：按平台定位和导出日志

每个程序最后都以LogTotal原生读取的格式结束：EVTX、CEF、JSON/NDJSON或syslog。首先修复UTC时间窗口和范围，并为每次导出计算哈希（Get-FileHash或sha256sum）以确保保管链。

Windows（EVTX）。 需要具有本地管理员权限的提升shell。Event Log服务锁定了%SystemRoot%System32winevtLogs下的实时.evtx文件，因此请使用wevtutil导出它们：

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

添加/q:”*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]”以将导出限制为24小时。GUI路径：eventvwr.msc → Windows Logs → Security → 将所有事件另存为……

Linux（syslog或NDJSON）。 需要root权限或是adm / systemd-journal组成员。复制/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL）。对于journald：

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail（JSON）。 需要cloudtrail:LookupEvents。CloudTrail → 事件历史 → 下载事件 → 下载JSON 涵盖90天的管理事件。从轨迹桶(s3:GetObject, kms:Decrypt)中，将记录展平成NDJSON：

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra ID和Microsoft 365（JSON）。 Entra管理中心 → 身份 → 监控与健康 → 登录日志 → 下载 → JSON（报告读者角色）。对于Purview审核数据，跳过CSV导出直接提取JSON（审核日志角色）：

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

网络设备（CEF）。 将设备切换到CEF格式（在FortiGate上：config log syslogd setting → set format cef）并从syslog收集器导出包含CEF:0|的行。

SOC Prime的日志分析产品

• 威胁检测市场：1,000,000+ Sigma本机检测规则，翻译成SIEM、EDR和数据湖语言，并用ATT&CK标记。
• Prime Hunt：使用相关规则扫描历史SIEM、EDR和数据湖数据，并从结果中推断攻击链。
• Prime Detect：在进入SIEM之前对流式事件运行Sigma规则并实时将其关联到攻击链。
• Uncoder.IO：将Sigma和Roota规则翻译成本地查询。
• LogTotal：免费，不需要注册的已导出日志文件分析，带有浏览器内的清理。
• logtotal-sanitizer：LogTotal背后的Apache 2.0引擎，作为Node.js库和CLI用于本地或隔离使用。

LogTotal涵盖本指南的案例：来自您的SIEM外部来源的文件，或您无法共享原始的文件。每次分析都在一个一次性、专用的SOC Prime检测流引擎实例上运行，并在之后删除。

使用LogTotal进行日志分析的工作原理

LogTotal是免费的，不需要账户，并在上传之前在您的浏览器中清理文件。SOC Prime不会在分析后保留日志或以其进行培训。

1. 打开 logtotal.com 在当前的Chromium、Firefox或Safari版本中。
2. 加载导出。 拖放.evtx、.log、.json或.ndjson文件。格式会自动检测。
3. 审查清理。 秘密、cookie、支付ID、IP、主机名、用户名和家庭目录路径变成键控HMAC-SHA-256标记如<USER:…>或<IP:…>。相同的值获得相同的令牌，因此即使十个喷洒的账号仍然看起来像十个用户。
4. 下载已清理的副本 用于您的案例文件。它完全是已分析的内容。
5. 运行分析。 事件根据约1,000,000个检测规则和13,000个标签进行检查，然后通过高阶Sigma规则和智能AI关联。SOC Prime报告每分钟最多可以处理1.7百万个事件。
6. 阅读发现。 检测映射到ATT&CK，分组成攻击链，并由AI进行解释。出现在凭据访问和横向移动发现中的令牌是您需要重置的账号。

对于多个主机，或者在限制浏览器上传时，使用开源CLI（Node.js 20+）进行本地清理，并复用一个密钥以便令牌在各个文件中匹配：

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”