Monitoring logów i zdarzeń w JST
Zbieranie zdarzeń jest początkiem. Ustalamy, co wykrywać, kto analizuje alarm i jak przebiega eskalacja.
Źródła i spójność czasu
Dobieramy źródła do chronionych usług: systemy, katalog kont, firewall, aplikacje i dostęp administracyjny. Sprawdzamy synchronizację czasu oraz wykrywanie przerwy w zbieraniu logów. Bez tego korelacja zdarzeń może prowadzić do błędnych wniosków.
Reguły z właścicielem
Reguła powinna wskazywać cel, dane wejściowe, warunek i sposób reakcji. Serie nieudanych logowań wymagają oceny kontekstu; nie oznaczają automatycznie potwierdzonego włamania. Testujemy alarmy i ograniczamy powtarzalne komunikaty bez ukrywania istotnych zdarzeń.
Retencja, dostęp i obsada
Logi mogą zawierać dane osobowe i informacje o systemach. Uzgadniamy retencję, uprawnienia i zakres przekazywania. Całodobowa analiza oraz czas reakcji wymagają odrębnego uzgodnienia — samo uruchomienie narzędzia nie tworzy całodobowego SOC.