LogsTotal

LogsTotal ist eine selbst gehostete Plattform zur Log-Analyse. Man lädt eine Log-Datei ab — Windows EVTX oder Event-XML, Winlogbeat/EVTX-JSON, auditd, syslog, einen journald-Export, Sysmon für Linux — und mehrere Detection-Engines führen Sigma-Regeln darauf aus und melden, was jede einzelne gefunden hat: Befunde gruppiert nach Schweregrad, MITRE-ATT&CK-Kontext, die beteiligten Entitäten und Analysten-Werkzeuge obendrauf.

Für das Einreichen einer Datei oder das Lesen öffentlicher Ergebnisse ist kein Konto erforderlich.

Detection-Engines: Zircolite, Chainsaw, Hayabusa, ChopChopGo und RSigma. Das Hinzufügen einer weiteren erfordert einen Katalogeintrag und einen Adapter mit typisiertem Output-Mapping, für eine Binärdatei oder ein Docker-Image — siehe Adding a tool adapter.

Screenshots

Upload & Workflow	Detection	Analytics
Event-Zeitachse	Regeln	Prozessbaum

Was man bekommt

• Log ablegen, Detection-Bericht erhalten. Fünf Engines stehen zur Verfügung; der Workflow und der Log-Typ bestimmen, welche Engines laufen. Der Log-Typ wird beim Ablegen erkannt.
• MITRE-ATT&CK-Kontext — eine Taktik-Heatmap pro Job.
• Zwei Zeitachsen — ein stündliches Aktivitätshistogramm nach Taktik und eine zoombare Zeitachse pro Alarm.
• Jedes Event erkunden, nicht nur die übereinstimmenden: Suche, ein zoombares Histogramm, Feldwerte, Stacking (seltenste Kombinationen zuerst) und CSV/NDJSON-Export über einen Index, den LogsTotal aus jedem Upload aufbaut.
• Prozessbäume aus jeder Prozesserzeugung im Log, mit markierten Detections.
• Entitätsextraktion und Pivoting sowie Untersuchungsfälle.
• Ein Beziehungsgraph mit Community-Erkennung, Pfadsuche, Bedrohungsfärbung und GraphML-Export.
• Regeln — eine eigene Detection-Schicht über dem, was eine Analyse hervorbringt, mit Auto-Tagging, Alarmen und signierten Webhooks.
• Export in den Rest des eigenen Stacks — IOC-Feed (CSV/JSON/STIX/MISP), STIX-Bundles, MISP-Events, IOC-Pakete für die Zwischenablage.
• Fuzzy-Ähnlichkeit — TLSH-Abgleich zwischen Uploads sowie regelübergreifende Korrelation zwischen Jobs.

Zugriffsmodell

Funktion	Admin	Member	User	Anonymous
Upload und Jobs	ja	ja	ja	ja
Private Einreichungen	ja	ja	ja	nein
Jedes Event eines Jobs erkunden	ja	ja	eigene Jobs	nein
Intel (Entitäten, Fälle, Regeln)	ja	ja	nein	nein
Admin-Seiten und Workflows	ja	nein	nein	nein

Administratoren weisen Rollen unter /admin/users zu.

Voraussetzungen

• Ubuntu oder Debian (die getesteten Plattformen), mit Docker Engine und dem Compose-Plugin.
• 7z (p7zip-full), rsync und curl.
• Python 3.11 oder neuer auf dem Host, nur Standardbibliothek, für die Hilfsskripte.
• Nichts für die Befehle selbst: ./logstotal bringt sein eigenes gepinntes Task mit.
• Ein Desktop-Browser, 1024px oder breiter, für die Personen, die es nutzen.

Die vollständige Liste mit Installationsbefehlen steht in Prerequisites.

Schnellstart

Lade logstotal-<version>.7z von der Releases-Seite herunter. Auf dem Host:

7z x logstotal-<version>.7z -ologstotal
cd logstotal
./logstotal quickstart

./logstotal quickstart erstellt .env, generiert jedes Geheimnis — einschließlich des Admin-Passworts, das einmalig ausgegeben wird, also speichern Sie es — baut und prüft den Stack, startet ihn und wartet, bis er antwortet. Es ist sicher, den Befehl erneut auszuführen.

Öffnen Sie dann http://<host>:8000 und melden Sie sich mit ADMIN_EMAIL aus .env und dem ausgegebenen Passwort an. Die Schritt-für-Schritt-Version, PostgreSQL und die nächsten Schritte finden Sie unter Single-host installation.

Zum Aktualisieren führen Sie ./logstotal upgrade aus demselben Verzeichnis aus: Es lädt die neueste Version herunter und wendet sie an. ./logstotal upgrade:rollback stellt die vorherige Version wieder her, auf diesem Host oder auf jedem Host einer Flotte. Jeder Rollback verbraucht seinen Snapshot, sodass ein zweimaliges Ausführen zwei Versionen zurückspringt. Siehe Upgrade and rollback.

Dokumentation

Die Administratordokumentation ist unter https://wagga40.github.io/LogsTotal/ veröffentlicht, und jede Version liefert sie in docs/ mit:

• Prerequisites, dann single-host installation, HTTPS with Caddy, fleet installation oder offline installation
• Configuration — jede Umgebungsvariable
• Health, logs and first-day checks
• Upgrade and rollback
• Security und Known limitations
• Commands — jeder ./logstotal-Befehl

Der Leitfaden für Analysten (Logs einreichen, Ergebnisse lesen, Intel) ist in die Anwendung integriert, unter /docs. Mitwirkende beginnen mit Local development.

Projekt