Начинайте с вопросов расследования
Архитектура журнала должна помогать ответить: кто выполнил действие, над каким объектом, откуда, когда, с каким результатом и через какую систему. Если запись не отвечает ни на один рабочий вопрос, её ценность следует пересмотреть.
NIST: процесс на уровне организации
NIST SP 800-92 рассматривает управление журналами как инфраструктуру и постоянный процесс: источники, передача, хранение, анализ, роли и сопровождение. Практический вывод — SIEM не заменяет политику, владельцев и качество времени на источниках.
CIS Control 8: собирать, предупреждать, проверять и хранить
CIS связывает журналы с обнаружением, пониманием и восстановлением после атаки. Эти четыре действия образуют полезную проверку: источник без просмотра создаёт архив, а оповещение без контекста создаёт шум.
Минимальная архитектура
- Единая синхронизация времени и идентификаторы систем.
- Защищённая доставка с контролем потерь и очередью при недоступности приёмника.
- Разделение оперативного поиска и долговременного архива.
- Ролевой доступ, фиксация действий администраторов и защита от изменения.
- Правила маскирования персональных данных, секретов и содержимого запросов.
Срок хранения определяется сценарием
Один срок для всех источников редко обоснован. Учитывайте скорость обнаружения, расследование, договорные и отраслевые требования, стоимость хранения и риск накопления чувствительных данных. Решение фиксируется по классу события.
Проверяйте качество
Регулярно измеряйте долю подключённых критичных источников, задержку доставки, пропуски, ошибки разбора, шум правил и время доступа к архиву. После изменения системы проверяйте, сохранились ли нужные поля и корреляция.
Нормативный перечень для конкретного проекта зависит от страны, отрасли, данных и роли организации. Этот обзор объясняет инженерную основу и не заменяет юридическую оценку.