Telemetry selection (log sources)
termosegurançaSuporte de TI
Decidir o que coletar perguntando quais perguntas precisam ser respondíveis, em vez de coletar o que estiver disponível até a conta da licença forçar cortes.
Preço por volume transforma isso numa decisão econômica disfarçada de técnica, e as fontes cortadas primeiro costumam ser as úteis - logs de proxy e de DNS são enormes e são também onde movimento lateral e exfiltração ficam visíveis. O conjunto de valor consistentemente alto é eventos de identidade, telemetria de processos no endpoint, DNS e saída, trilhas administrativas de auditoria, e o plano de controle da nuvem. Toda omissão é um ponto cego que correlação nenhuma preenche, e por isso as lacunas devem ser registradas de propósito, não descobertas durante uma investigação.
Também conhecido como: log sources, what to collect, ingest cost, blind spot