关注 SOC Prime 的 LogTotal 现在支持从四个主要的 SIEM 和 EDR 平台导出日志：Google SecOps、CrowdStrike Falcon LogScale / Next-Gen SIEM、Microsoft Defender for Endpoint (MDE) 和 Microsoft Sentinel。每个平台使用自己的文件格式、字段名称和数据模型。LogTotal 自动处理这些差异，因此安全团队可以按原样上传导出内容，并从每个来源获取相同深度的分析。对 Splunk、IBM QRadar 和 OpenSearch/Elasticsearch 的支持即将到来。
新功能：四个平台，一个分析器
新支持的平台各自带来不同的数据模型和不同的导出选项：
| 平台 | 数据模型 | 供应商记录的导出 |
| Google SecOps | 由解析器生成的统一数据模型（UDM），用于标准化原始日志 | 将检测事件导出为 CSV，最多 100,000 个事件 |
| CrowdStrike Falcon LogScale / Next-Gen SIEM | 本地 Falcon 传感器字段名称；第三方数据解析为 CrowdStrike 解析标准（CPS），基于 ECS | CSV、JSON 和纯文本 |
| Microsoft Defender for Endpoint | 高级狩猎架构，包含如 DeviceProcessEvents 等表 | 高级狩猎结果 作为 Excel 工作簿；引导模式下的 CSV |
| Microsoft Sentinel | 使用 KQL 查询日志分析表；可选的 ASIM 规范化 | 从 Logs 窗口将查询结果导出为 CSV 无需转换脚本、字段重命名或自定义解析器。 |
No conversion scripts, field renaming, or custom parsers are needed for any of them.
相同的事件，四种不同的描述
每个平台用其自身的方式记录相同的活动。单个进程启动在不同导出来源下带有不同的字段名称：
| 检测所查找的内容 | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| 新进程的命令行 | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| 新进程映像 | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| 父进程或启动进程 | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
差异不仅仅在于名称：
- 相同字段的不同名称。 一个概念，比如命令行，在每个平台上都有不同的名称。
- 不同的结构。 UDM 在 principal 和 target 下嵌套字段，而 MDE 和 Falcon 使用平坦的列名称。一些值会分散在多个字段中，比如 MDE 的 FolderPath 和 FileName。
- 一个平台内不同的命名。 Next-Gen SIEM 保留 Falcon 的本地名称用于传感器遥测，并且使用基于 ECS 的 CPS 名称用于第三方数据。两者都能出现在单一导出中。
通常情况下，分析师手动弥合这些差距，然后才可运行单个规则。使用 LogTotal 这些差异不再是你的问题。
LogTotal 如何处理文件格式
LogTotal 为你检测文件格式。SOC Prime 文档记录了自动检测 EVTX、CEF、JSON 和 syslog，无需手动转换。LogTotal 接受上传或粘贴的 .log、.json、.jsonl、.evtx 和 .txt 文件，大小可达 3 GB 或 3,000,000 个事件，并在不到一分钟内处理多达 170 万个事件。
这里涵盖的平台在记录的打包方式上有很大不同：
- 单一的 JSON 数组。 LogScale 的 JSON 导出将所有事件封装在一个数组中。LogTotal 将每个元素读取为单独的事件。
- CSV 导出。 Google SecOps、MDE 高级狩猎和 Sentinel Logs 将查询结果导出为 CSV 文件，每个列的标题均命名为该平台架构中的字段。
上传前不需要展平嵌套的 JSON，重命名列或重新排列字段。然后在你的浏览器上本地化解析事件的消毒过程，所以无论它们以哪种格式到达，相同的标识符都会一致地被标记。
LogTotal 如何处理字段名称和映射
LogTotal 将每个平台的字段名称映射到其检测逻辑所期望的字段，以便一个规则可以针对所有四种架构正确评估。用户无需维护映射，编写解析器或选择架构。
这建立在 SOC Prime 已经为其检测内容所做的映射工作之上。SOC Prime 的平台支持矩阵列出针对 UDM 数据架构编写的 Google SecOps 规则，以及针对其默认架构编写的 MDE 和 Sentinel 的 Kusto 查询。LogTotal 将相同的知识应用于导出的文件。
在映射之后，来自所有四个平台的事件都会通过同一管道：大约 1,000,000 个检测规则和 13,000 个威胁标签，经过高级 Sigma 规则和代理 AI 的关联，映射到 MITRE ATT&CK 的攻击链。
这对安全团队意味着什么
格式和架构的差异是 LogTotal 的问题，而不是你的。实际上：
- 按照你已有的方式导出。 使用你平台的标准导出并将文件按原样上传。
- 在一次调查中混合来源。 来自不同平台的日志使用相同的规则和关联进行分析，因此发现是可比的。
- 保持你的标识符私密。 消毒将在上传前将主机名、IP、用户名和机密替换为稳定的 HMAC 令牌。你保留密钥并可在内部映射回令牌。
- 在每个平台上获得相同的深度。 规则覆盖并不依赖于哪个 SIEM 或 EDR 生成了文件。
为获得最佳结果，导出那些承载检测价值的字段，例如进程、命令行、父进程、用户、主机和网络详细信息，而不是简化的摘要视图。若平台同时提供两者，优先选择完整的事件导出而非列子集。
即将计划的更新
支持从 Splunk, IBM QRadar和 OpenSearch/Elasticsearch 导出文件的支持正在计划中。这些平台带来了各自的惯例，比如 Elastic 的 ECS 字段名称。经验将保持不变：导出、上传，让 LogTotal 处理格式和字段映射。
