आप शून्य से monitoring खड़ी कर रहे हैं। कौन से log स्रोत आप पहले जोड़ते हैं और क्यों?

identity और endpoint से शुरू करें, क्योंकि ज्यादातर घुसपैठ credentials और process execution से होकर गुजरती हैं। पहले directory और cloud sign in log जोड़ें, फिर process creation और command line वाली endpoint telemetry, फिर DNS और proxy या firewall का egress, फिर email security, फिर cloud control plane के audit log। क्रम प्रति ingest लागत पर मिलने वाली detection की कीमत से तय करें, और आगे बढ़ने से पहले parsing और घड़ी का मिलान पक्का करें।

मैं क्रम इस हिसाब से रखता हूं कि हर स्रोत मुझे ingest के हर रुपये पर हमले की कड़ी का कितना हिस्सा दिखाता है। identity पहले है: directory authentication के साथ cloud sign in log, क्योंकि credential का दुरुपयोग लगभग हर घुसपैठ को छूता है और वे log तुलनात्मक रूप से छोटे हैं। endpoint दूसरा है, खासकर पूरे command line, parent process और network connection वाला process creation, क्योंकि execution और lateral movement वहीं दिखने लगते हैं। तीसरा egress है, DNS के साथ proxy या firewall, जिससे मुझे command and control और exfiltration मिलते हैं। चौथा email है, क्योंकि वही सबसे आम घुसने का रास्ता है। पांचवां cloud control plane का audit trail है, जहां क्लाउड की persistence रहती है। हर एक के लिए मैं तब तक उसे पूरा नहीं मानता जब तक parser field सही न मिलाए, timestamp UTC में न हों और स्रोतों के बीच मेल न खाएं, और उस पर कम से कम कुछ detection जिंदा न हों। जिस जोड़े गए स्रोत पर कोई detection नहीं है वह सिर्फ storage का बिल है, और ऐसे कुछ मुझे विरासत में मिल चुके हैं।