Estás montando la monitorización desde cero. ¿Qué fuentes de log integras primero y por qué?

Empieza por identidad y endpoint, porque la mayoría de intrusiones pasan por credenciales y ejecución de procesos. Integra primero los logs de directorio y de inicio de sesión en la nube, luego la telemetría de endpoint con creación de procesos y líneas de comandos, después DNS y la salida por proxy o firewall, luego la seguridad del correo y después los logs de auditoría del plano de control de la nube. Ordena por valor de detección por unidad de coste de ingesta, y confirma el parseo y la sincronización de relojes antes de seguir.

Ordeno según cuánto de la cadena de ataque me muestra cada fuente por cada euro de ingesta. La identidad va primero: autenticación de directorio más logs de inicio de sesión en la nube, porque el abuso de credenciales toca casi todas las intrusiones y esos logs son comparativamente pequeños. El endpoint va segundo, en concreto la creación de procesos con líneas de comandos completas, proceso padre y conexiones de red, ya que ahí es donde se hacen visibles la ejecución y el movimiento lateral. Tercero, la salida: DNS más proxy o firewall, que me da comando y control y exfiltración. Cuarto, el correo, porque es el punto de entrada más común. Quinto, el rastro de auditoría del plano de control de la nube, que es donde vive la persistencia en la nube. Para cada una no la doy por terminada hasta que el parser mapea bien los campos, las marcas de tiempo están en UTC y coinciden entre fuentes, y hay al menos un puñado de detecciones vivas encima. Una fuente integrada sin detecciones es solo una factura de almacenamiento, y he heredado unas cuantas de esas.