Może obejmować logi, zdarzenia, metryki, ślady, przepływy, dane pakietów, stan konfiguracji i zmiany. Telemetria daje obrońcom obserwacje, z których mogą badać aktywność, budować detekcje i oceniać, czy kontrole działają.
Samo zbieranie nie wystarcza. Użyteczna telemetria potrzebuje wiarygodnych znaczników czasu, kontekstu źródła i tożsamości, spójnych schematów, odpowiedniej retencji, kontrolowanego dostępu i zrozumiałej ścieżki od generowania do analizy. Właściciele powinni zbierać dla zdefiniowanych celów bezpieczeństwa i ważyć widoczność z prywatnością, kosztem przechowywania i ryzykiem tworzenia kolejnego wrażliwego repozytorium danych.
Najważniejsze punkty
Projektowanie źródełZidentyfikuj pytania i detekcje, które źródło musi wspierać, zanim zdecydujesz, które zdarzenia i pola zbierać.
Kontrole jakościMonitoruj kompletność, opóźnienie, parsowanie, synchronizację czasu, duplikację, zmiany schematu i awarie zbierania.
ZarządzanieUstal proporcjonalne zasady dostępu, retencji, minimalizacji, integralności i usuwania, zwłaszcza gdy zdarzenia zawierają dane osobiste lub poufne.
Istotne ograniczenieTelemetria to dowód, a nie prawda. Może być niekompletna, niejednoznaczna, zmanipulowana lub pozbawiona kontekstu, więc wnioski o wysokim wpływie powinny być potwierdzane.