Elle peut inclure journaux, événements, métriques, traces, flux, données de paquets, états de configuration et changements. La télémétrie donne aux défenseurs des observations à partir desquelles investiguer l'activité, construire des détections et évaluer si les mesures fonctionnent.
La collecte seule ne suffit pas. Une télémétrie utile exige des horodatages fiables, un contexte de source et d'identité, des schémas cohérents, une conservation adéquate, un accès contrôlé et un chemin compris de la génération à l'analyse. Les propriétaires doivent collecter pour des finalités de sécurité définies et équilibrer la visibilité avec la vie privée, le coût de stockage et le risque de créer un dépôt de données sensibles supplémentaire.
Points clés
Conception des sourcesIdentifier les questions et les détections qu'une source doit soutenir avant de décider quels événements et quels champs collecter.
Contrôles de qualitéSurveiller la complétude, la latence, le parsing, la synchronisation horaire, la duplication, les changements de schéma et les échecs de collecte.
GouvernanceFixer des règles proportionnées d'accès, de conservation, de minimisation, d'intégrité et de suppression, surtout lorsque les événements contiennent des données personnelles ou confidentielles.
Limite importanteLa télémétrie est une preuve, pas la vérité. Elle peut être incomplète, ambiguë, manipulée ou privée de contexte ; les conclusions à fort impact doivent donc être corroborées.