Une entreprise peut envoyer des millions d’événements vers son SIEM et malgré tout avoir une visibilité médiocre.
Pourquoi ?
Parce que certains logs peuvent être :
- inutiles
- incomplets
- mal configurés
- trop verbeux
- mal horodatés
- mal normalisés
- dépourvus de contexte.
Il faut donc définir une stratégie de journalisation. Le NIST recommande justement une approche structurée de la gestion des logs plutôt qu’une simple accumulation de données.