LogsTotal

LogsTotal은 셀프 호스팅 로그 분석 플랫폼입니다. 로그 파일 — Windows EVTX 또는 Event XML, Winlogbeat/EVTX JSON, auditd, syslog, journald 내보내기, Sysmon for Linux — 을 올리면 여러 탐지 엔진이 Sigma 규칙을 실행하고 각 엔진이 찾은 결과를 보고합니다: 심각도별로 그룹화된 탐지 결과, MITRE ATT&CK 컨텍스트, 관련 엔티티, 그리고 그 위에 얹힌 분석가 도구까지 제공합니다.

파일을 제출하거나 공개 결과를 열람하는 데 계정은 필요하지 않습니다.

탐지 엔진: Zircolite, Chainsaw, Hayabusa, ChopChopGo 및 RSigma. 다른 엔진을 추가하려면 카탈로그 항목과 어댑터, 그리고 바이너리 또는 Docker 이미지에 대한 타입이 지정된 출력 매핑이 필요합니다 — 도구 어댑터 추가를 참고하세요.

스크린샷

업로드 및 워크플로	탐지	분석
이벤트 타임라인	규칙	프로세스 트리

제공 기능

• 로그를 올리면 탐지 보고서를 받습니다. 다섯 개의 엔진을 사용할 수 있으며, 워크플로와 로그 유형에 따라 실행되는 엔진이 결정됩니다. 로그 유형은 업로드 시 자동으로 감지됩니다.
• MITRE ATT&CK 컨텍스트 — 작업별 전술 히트맵.
• 두 가지 타임라인 — 전술별 시간당 활동 히스토그램과 확대/축소 가능한 경보별 타임라인.
• 일치한 이벤트뿐 아니라 모든 이벤트를 탐색할 수 있습니다: 검색, 확대/축소 가능한 히스토그램, 필드 값, 스태킹(가장 희귀한 조합 우선), 그리고 LogsTotal이 각 업로드로부터 구축하는 인덱스에 대한 CSV/NDJSON 내보내기.
• 로그의 모든 프로세스 생성에서 생성되는 프로세스 트리, 탐지 항목 표시.
• 엔티티 추출 및 피벗팅, 그리고 조사 케이스.
• 커뮤니티 탐지, 경로 탐색, 위협 색상 지정, GraphML 내보내기를 지원하는 관계 그래프.
• 규칙 — 분석 결과 위에 얹는 자체 탐지 계층으로, 자동 태깅, 경보, 서명된 웹훅을 제공합니다.
• 나머지 스택으로 내보내기 — IOC 피드(CSV/JSON/STIX/MISP), STIX 번들, MISP 이벤트, 클립보드 IOC 팩.
• 퍼지 유사도 — 업로드 간 TLSH 매칭과 작업 간 규칙 상관관계.

접근 모델

기능	관리자	멤버	사용자	익명
업로드 및 작업	예	예	예	예
비공개 제출	예	예	예	아니오
작업의 모든 이벤트 탐색	예	예	본인 작업	아니오
인텔(엔티티, 케이스, 규칙)	예	예	아니오	아니오
관리자 페이지 및 워크플로	예	아니오	아니오	아니오

관리자는 /admin/users에서 역할을 할당합니다.

사전 요구 사항

• Ubuntu 또는 Debian(테스트된 플랫폼), Docker Engine 및 Compose 플러그인 포함.
• 7z(p7zip-full), rsync 및 curl.
• 헬퍼 스크립트용으로 호스트에 Python 3.11 이상, 표준 라이브러리만 사용.
• 명령 자체에는 아무것도 필요 없습니다: ./logstotal은 자체적으로 고정된 Task를 가져옵니다.
• 사용자를 위해 데스크톱 브라우저, 1024px 이상.

설치 명령을 포함한 전체 목록은 사전 요구 사항에 있습니다.

빠른 시작

릴리스 페이지에서 logstotal-<version>.7z를 다운로드하세요. 호스트에서:

7z x logstotal-<version>.7z -ologstotal
cd logstotal
./logstotal quickstart

./logstotal quickstart는 .env를 생성하고, 관리자 비밀번호를 포함한 모든 시크릿을 생성하며 — 비밀번호는 한 번만 출력되므로 반드시 저장하십시오 — 스택을 빌드하고 검사한 뒤 시작하고, 응답할 때까지 기다립니다. 다시 실행해도 안전합니다.

그런 다음 http://<host>:8000을 열고 .env의 ADMIN_EMAIL과 출력된 비밀번호로 로그인하십시오. 단계별 버전, PostgreSQL, 그리고 다음에 해야 할 일은 단일 호스트 설치에 있습니다.

업그레이드하려면 같은 디렉터리에서 ./logstotal upgrade를 실행하십시오. 최신 릴리스를 다운로드하여 적용합니다. ./logstotal upgrade:rollback은 이 호스트 또는 플릿의 모든 호스트에서 직전 릴리스로 복원합니다. 각 롤백은 해당 스냅샷을 소모하므로, 두 번 실행하면 두 릴리스 전으로 돌아갑니다. 업그레이드 및 롤백을 참조하십시오.

문서

관리자 문서는 **https://wagga40.github.io/LogsTotal/**에 게시되며, 모든 릴리스는 docs/에 이를 포함합니다:

• 사전 요구 사항, 그다음 단일 호스트 설치, Caddy를 사용한 HTTPS, 플릿 설치 또는 오프라인 설치
• 구성 — 모든 환경 변수
• 상태, 로그 및 첫날 점검
• 업그레이드 및 롤백
• 보안 및 알려진 제한 사항
• 명령어 — 모든 ./logstotal 명령어

분석가용 가이드(로그 제출, 결과 읽기, Intel)는 애플리케이션에 내장되어 있으며 /docs에서 확인할 수 있습니다. 기여자는 로컬 개발부터 시작하십시오.

프로젝트

• CHANGELOG.md — 각 릴리스에서 변경된 내용
• CONTRIBUTING.md — 변경 사항을 제안하는 방법
• SECURITY.md — 취약점 신고 (공개 이슈를 열지 마십시오)
• LICENSE — MIT