LogsTotal

LogsTotal はセルフホスト型のログ分析プラットフォームです。ログファイル — Windows EVTX または Event XML、Winlogbeat/EVTX JSON、auditd、syslog、journald エクスポート、Sysmon for Linux — を投入すると、複数の 検出エンジンがその上で Sigma ルールを実行し、それぞれが見つけた内容を報告します。重大度別にグループ化された 検出結果、MITRE ATT&CK のコンテキスト、関与するエンティティ、そしてその上に重ねられたアナリスト向けツールです。

ファイルの投入や公開結果の閲覧にアカウントは不要です。

検出エンジン: Zircolite、 Chainsaw、 Hayabusa、 ChopChopGo、 RSigma。別のエンジンの追加は、バイナリまたは Docker イメージに対して、 型付きの出力マッピングを伴うカタログエントリとアダプタで行います — 詳細は ツールアダプタの追加を参照してください。

スクリーンショット

アップロードとワークフロー	検出	分析
イベントタイムライン	ルール	プロセスツリー

得られるもの

• ログを投入すれば検出レポートが得られます。 5 つのエンジンが利用可能で、ワークフローとログ タイプによって実行されるエンジンが決まります。ログタイプは投入時に検出されます。
• MITRE ATT&CK のコンテキスト — ジョブごとの戦術ヒートマップ。
• 2 つのタイムライン — 戦術別の時間単位アクティビティヒストグラムと、ズーム可能なアラート単位のタイムライン。
• 一致したイベントだけでなく、すべてのイベントを探索: 検索、ズーム可能なヒストグラム、フィールド 値、スタッキング（最も稀な組み合わせを先頭に）、そして LogsTotal が各アップロードから構築する インデックスに対する CSV/NDJSON エクスポート。
• ログ内のすべてのプロセス生成から構築されるプロセスツリー（検出結果がマークされます）。
• エンティティ抽出とピボット、および調査ケース。
• コミュニティ検出、経路探索、脅威の色分け、GraphML エクスポートを備えた関係グラフ。
• ルール — 分析結果の上に重ねる独自の検出レイヤーで、自動タグ付け、 アラート、署名付き Webhook を備えます。
• スタックの他の部分へのエクスポート — IOC フィード（CSV/JSON/STIX/MISP）、STIX バンドル、MISP イベント、クリップボード用 IOC パック。
• ファジー類似度 — アップロード間の TLSH マッチング、およびジョブ間のルール相関。

アクセスモデル

機能	管理者	メンバー	ユーザー	匿名
アップロードとジョブ	可	可	可	可
プライベートな投稿	可	可	可	不可
ジョブのすべてのイベントを探索	可	可	自身のジョブ	不可
インテリジェンス（エンティティ、ケース、ルール）	可	可	不可	不可
管理ページとワークフロー	可	不可	不可	不可

管理者は /admin/users でロールを割り当てます。

前提条件

• Ubuntu または Debian（テスト済みプラットフォーム）、Docker Engine と Compose プラグインを備えたもの。
• 7z（p7zip-full）、rsync、curl。
• ホスト上の Python 3.11 以降、標準ライブラリのみ、ヘルパースクリプト用。
• コマンド自体には何も不要です: ./logstotal は固定された Task を同梱しています。
• 利用者向けに、幅 1024px 以上のデスクトップブラウザ。

インストールコマンドを含む完全なリストは前提条件にあります。

クイックスタート

リリースページから logstotal-<version>.7z をダウンロードします。ホスト上で:

7z x logstotal-<version>.7z -ologstotal
cd logstotal
./logstotal quickstart

./logstotal quickstart は .env を作成し、管理者パスワードを含むすべてのシークレットを生成します（一度だけ表示されるので保存してください）。その後スタックをビルドしてチェックし、起動して応答を待ちます。再実行しても安全です。

次に http://<host>:8000 を開き、.env の ADMIN_EMAIL と表示されたパスワードでログインします。ステップバイステップの手順、PostgreSQL、および次のステップについては、シングルホストインストールを参照してください。

アップグレードするには、同じディレクトリで ./logstotal upgrade を実行します。最新リリースをダウンロードして適用します。./logstotal upgrade:rollback は、このホスト上またはフリートのすべてのホスト上で、直前のリリースに戻します。各ロールバックはそのスナップショットを消費するため、2回実行すると2つ前のリリースに戻ります。アップグレードとロールバックを参照してください。

ドキュメント

管理者向けドキュメントは https://wagga40.github.io/LogsTotal/ で公開されており、各リリースには docs/ に同梱されています：

• 前提条件、次に シングルホストインストール、 Caddy による HTTPS、 フリートインストール、または オフラインインストール
• 設定 — すべての環境変数
• ヘルス、ログ、初日のチェック
• アップグレードとロールバック
• セキュリティ と 既知の制限
• コマンド — すべての ./logstotal コマンド

アナリスト向けガイド（ログの送信、結果の閲覧、Intel）はアプリケーションに組み込まれており、/docs で参照できます。コントリビューターはローカル開発から始めてください。

プロジェクト

• CHANGELOG.md — 各リリースでの変更点
• CONTRIBUTING.md — 変更を提案する方法
• SECURITY.md — 脆弱性の報告（公開 issue は開かないでください）
• LICENSE — MIT