Você está montando o monitoramento do zero. Quais fontes de log você integra primeiro e por quê?

Comece por identidade e endpoint, porque a maioria das invasões passa por credenciais e execução de processos. Integre logs de diretório e de sign in em nuvem primeiro, depois telemetria de endpoint com criação de processo e linhas de comando, depois DNS e saída por proxy ou firewall, depois segurança de e-mail, depois logs de auditoria do control plane de nuvem. Sequencie por valor de detecção por unidade de custo de ingestão, e confirme o parsing e a sincronização de relógio antes de seguir.

Eu sequencio por quanto da cadeia de ataque cada fonte me mostra por real de ingestão. Identidade é a primeira: autenticação de diretório mais logs de sign in em nuvem, porque abuso de credencial toca quase toda invasão e esses logs são comparativamente pequenos. Endpoint é a segunda, especificamente criação de processo com linha de comando completa, processo pai e conexões de rede, já que é ali que execução e movimento lateral ficam visíveis. Terceira é a saída, DNS mais proxy ou firewall, que me dá comando e controle e exfiltração. Quarta é e-mail, porque é o ponto de entrada mais comum. Quinta é a trilha de auditoria do control plane de nuvem, que é onde mora a persistência em nuvem. Para cada uma eu não considero pronto até o parser mapear os campos corretamente, os timestamps estarem em UTC e concordarem entre fontes, e pelo menos um punhado de detecções estar no ar em cima dela. Uma fonte integrada sem detecções é só uma conta de armazenamento, e eu já herdei algumas dessas.