اول باید مطمئن باشی خود SIEM سالمه.
اگر Forwarderها از کار افتاده باشن، Indexها پر شده باشن، Parsing لاگ‌ها مشکل داشته باشه یا منابع SIEM تحت فشار باشن، ممکنه اصلاً بخشی از لاگ‌ها رو از دست بدی.
به همین خاطر، هر SIEM باید یک Health Dashboard داشته باشه که حداقل این موارد رو نشون بده:
- وضعیت دریافت لاگ از Agentها و Log Sourceها
- Ingestion Rate (حجم لاگ ورودی)
- Parsing Errorها
- Queue و Bufferها
- Disk Usage
- CPU و RAM سرورها
- Index یا Storage Capacity
- Delay یا Latency دریافت لاگ
- تعداد Log Sourceهای Offline
📌 یادت باشه، اگر SIEM سالم نباشه، تحلیل Alertها هم قابل اعتماد نیست.
@Socroot