LogsTotal

LogsTotal منصة تحليل سجلات ذاتية الاستضافة. ألقِ ملف سجل — Windows EVTX أو Event XML، أو Winlogbeat/EVTX JSON، أو auditd، أو syslog، أو تصدير journald، أو Sysmon for Linux — وتعمل عدة محركات كشف على تشغيل قواعد Sigma عليه وتُبلّغ بما وجده كل منها: النتائج مجمّعة حسب الخطورة، وسياق MITRE ATT&CK، والكيانات المعنية، وأدوات المحلل فوق ذلك.

لا حاجة إلى حساب لإرسال ملف أو قراءة النتائج العامة.

محركات الكشف: Zircolite، Chainsaw، Hayabusa، ChopChopGo و RSigma. إضافة محرك آخر تتطلب إدخالاً في الكتالوج ومحوّلاً (adapter)، مع تعيين مخرجات مُنمّط، لملف تنفيذي أو صورة Docker — راجع إضافة محوّل أداة.

لقطات الشاشة

الرفع وسير العمل	الكشف	التحليلات
الخط الزمني للأحداث	القواعد	شجرة العمليات

ما الذي تحصل عليه

• ألقِ سجلاً، واحصل على تقرير كشف. خمسة محركات متاحة؛ يحدد سير العمل ونوع السجل أي المحركات تعمل. يُكتشف نوع السجل عند الإلقاء.
• سياق MITRE ATT&CK — خريطة حرارية للتكتيكات لكل مهمة.
• خطان زمنيان — مدرّج نشاط بالساعة حسب التكتيك، وخط زمني لكل تنبيه قابل للتكبير.
• استكشف كل حدث، وليس الأحداث المطابقة فقط: بحث، ومدرّج قابل للتكبير، وقيم الحقول، والتجميع (stacking) (أندر التوليفات أولاً)، وتصدير CSV/NDJSON عبر فهرس يبنيه LogsTotal من كل عملية رفع.
• أشجار العمليات من كل إنشاء عملية في السجل، مع تمييز عمليات الكشف.
• استخراج الكيانات والتحوّل بينها (pivoting)، وحالات التحقيق.
• رسم بياني للعلاقات مع كشف المجتمعات، وإيجاد المسارات، وتلوين التهديدات، وتصدير GraphML.
• القواعد — طبقة كشف خاصة بك فوق ما ينتجه التحليل، مع وسم تلقائي، وتنبيهات، وخطافات ويب موقّعة.
• التصدير إلى بقية منظومتك — تغذية IOC (CSV/JSON/STIX/MISP)، وحزم STIX، وأحداث MISP، وحزم IOC للحافظة.
• تشابه ضبابي — مطابقة TLSH بين عمليات الرفع، إضافة إلى ربط القواعد بين المهام.

نموذج الوصول

الميزة	مسؤول	عضو	مستخدم	مجهول
الرفع والمهام	نعم	نعم	نعم	نعم
الإرسالات الخاصة	نعم	نعم	نعم	لا
استكشاف كل حدث في مهمة	نعم	نعم	مهامه الخاصة	لا
الاستخبارات (الكيانات، الحالات، القواعد)	نعم	نعم	لا	لا
صفحات المسؤول وسير العمل	نعم	لا	لا	لا

يعيّن المسؤولون الأدوار على /admin/users.

المتطلبات المسبقة

• Ubuntu أو Debian (المنصتان المُختبرتان)، مع Docker Engine وإضافة Compose.
• 7z (p7zip-full)، وrsync، وcurl.
• Python 3.11 أو أحدث على المضيف، بالمكتبة القياسية فقط، للسكربتات المساعدة.
• لا شيء للأوامر نفسها: يجلب ./logstotal نسخته المثبّتة من Task.
• متصفح سطح مكتب بعرض 1024 بكسل أو أكثر، للأشخاص الذين يستخدمونه.

القائمة الكاملة، مع أوامر التثبيت، موجودة في المتطلبات المسبقة.

البدء السريع

نزّل logstotal-<version>.7z من صفحة الإصدارات. على المضيف:

7z x logstotal-<version>.7z -ologstotal
cd logstotal
./logstotal quickstart

./logstotal quickstart ينشئ ملف .env، ويولّد كل سر — بما في ذلك كلمة مرور المسؤول، التي تُطبع مرة واحدة، لذا احفظها — ويبني الحزمة ويتحقق منها، ويشغّلها، وينتظر حتى تستجيب. من الآمن إعادة تشغيله.

ثم افتح http://<host>:8000 وسجّل الدخول باستخدام ADMIN_EMAIL من .env وكلمة المرور المطبوعة. النسخة خطوة بخطوة، وPostgreSQL، وما يجب فعله بعد ذلك موجودة في تثبيت على مضيف واحد.

للترقية، شغّل ./logstotal upgrade من الدليل نفسه: فهو ينزّل أحدث إصدار ويطبّقه. ./logstotal upgrade:rollback يستعيد الإصدار الذي قبله، على هذا المضيف أو على كل مضيف في الأسطول. كل عملية تراجع تستهلك لقطة الحالة الخاصة بها، لذا فإن تشغيلها مرتين يعود بك إصدارين إلى الوراء. راجع الترقية والتراجع.

التوثيق

تُنشر وثائق المسؤول على https://wagga40.github.io/LogsTotal/، وكل إصدار يشحنها في docs/:

• المتطلبات الأساسية، ثم التثبيت على مضيف واحد، HTTPS باستخدام Caddy، تثبيت الأسطول أو التثبيت دون اتصال
• الإعدادات — كل متغير بيئة
• الحالة والسجلات وفحوصات اليوم الأول
• الترقية والتراجع
• الأمان والقيود المعروفة
• الأوامر — كل أمر ./logstotal

دليل المحللين (إرسال السجلات، وقراءة النتائج، وIntel) مدمج في التطبيق، على المسار /docs. يبدأ المساهمون بـ التطوير المحلي.

المشروع

• CHANGELOG.md — ما تغيّر في كل إصدار
• CONTRIBUTING.md — كيفية اقتراح تغيير
• SECURITY.md — الإبلاغ عن ثغرة أمنية (يُرجى عدم فتح مشكلة علنية)
• LICENSE — MIT