Může zahrnovat logy, události, metriky, trasy, toky, paketová data, stav konfigurace a změny. Telemetrie dává obráncům pozorování, ze kterých mohou vyšetřovat aktivitu, budovat detekce a posuzovat, zda kontroly fungují.
Samotný sběr nestačí. Užitečná telemetrie potřebuje důvěryhodná časová razítka, kontext zdroje a identity, konzistentní schémata, adekvátní uchovávání, řízený přístup a pochopenou cestu od generování k analýze. Vlastníci by měli sbírat pro definované bezpečnostní účely a vyvažovat viditelnost proti soukromí, nákladům úložiště a riziku vytvoření dalšího citlivého datového úložiště.
Klíčové body
Návrh zdrojůPřed rozhodnutím, které události a pole sbírat, identifikujte otázky a detekce, které musí zdroj podporovat.
Kontroly kvalityMonitorujte úplnost, latenci, parsování, synchronizaci času, duplikaci, změny schématu a selhání sběru.
ŘízeníNastavte přiměřená pravidla přístupu, uchovávání, minimalizace, integrity a mazání, zejména kde události obsahují osobní či důvěrná data.
Důležité omezeníTelemetrie jsou důkaz, nikoli pravda. Mohou být neúplné, dvojznačné, manipulované nebo zbavené kontextu, takže závěry s vysokým dopadem by měly být potvrzovány.