Tartalmazhat naplókat, eseményeket, metrikákat, trace-eket, flow-kat, csomagadatokat, konfigurációs állapotot és változásokat. A telemetria megfigyeléseket ad a védekezőknek, amelyekből tevékenységet vizsgálhatnak, észlelésokat építhetnek, és felmérhetik, működnek-e a kontrollok.
A gyűjtés önmagában nem elég. A hasznos telemetriához megbízható időbélyegek, forrás- és identitáskontextus, konzisztens sémák, megfelelő megőrzés, kontrollált hozzáférés, valamint a generálástól az elemzésig értett útvonal kell. A tulajdonosoknak meghatározott biztonsági célokra kell gyűjteniük, és egyensúlyt kell tartaniuk a láthatóság, az adatvédelem, a tárolási költség és egy újabb érzékeny adattár létrehozásának kockázata között.
Legfontosabb pontok
ForrástervAzt kell azonosítani, mely kérdéseket és észlelésokat kell egy forrásnak támogatnia, mielőtt eldöntenénk, mely eseményeket és mezőket gyűjtjük.
MinőségkontrollokA teljesség, a késleltetés, a parsolás, az időszinkron, a duplikáció, a sémaváltozások és a gyűjtési hibák monitorozása.
IrányításArányos hozzáférési, megőrzési, minimalizálási, integritási és törlési szabályok megállapítása — különösen ott, ahol az események személyes vagy bizalmas adatot tartalmaznak.
Fontos korlátA telemetria bizonyíték, nem igazság. Lehet hiányos, többértelmű, manipulált vagy kontextusától megfosztott, ezért a nagy hatású következtetéseket alátámasztandó forrásokkal kell megerősíteni.