§ 17

SIEM: Protokollspeicher aus Ereignissen pro Sekunde

Wie viel Speicher sollte die Log-Plattform haben?

Antwort: Bevor eine SIEM- oder Log-Plattform gekauft oder erweitert wird, muss der Speicher dimensioniert werden. Dies wird bestimmt durch die Anzahl der Ereignisse pro Sekunde (EPS), die eure Firewalls, Server und AD senden, wie groß sie im Durchschnitt sind, wie viele Tage sie gespeichert werden sollen und wie gut die Plattform komprimiert. Der Rechner ergibt GB pro Tag und den Gesamtspeicherbedarf.

Formel

Byte pr. dag = EPS × byte pr. hændelse × 86.400 sekunder

GB pr. dag = byte pr. dag ÷ 1.000.000.000

Samlet lager = GB pr. dag × opbevaringsdage ÷ komprimeringsforhold

Symbole und Einheiten in der Formel
Symbol	Bedeutung	Einheit
eps	Ereignisse pro Sekunde durchschnittlich (EPS)	EPS
byte_pr_haendelse	Durchschnittliche Ereignisgröße (Messung auf deinen eigenen Logs)	byte
dage	Lagerdauer	dage
komprimering	Komprimeringsforhold (1 = ingen; se platformens datablad)	: 1
=	Lagerbedarf während der gesamten Lagerzeit	GB
=	Rohdaten pro Tag	GB
=	Ereignisse pro Tag	mio.
=	Lagerbedarf in TB	TB

Gültigkeit und Quelle

Quelle: Log-Management-Dimensionierung (EPS × Byte × Zeit) · Kompetenzenziel über SIEM und Log-Management

Gilt nicht, wenn

Dimensioniere für die Spitzenlast, nicht nur den Durchschnitt, und füge Indizierung und Replikation nach der Plattformdokumentation hinzu. Die Aufbewahrungsdauer ist eine Entscheidung basierend auf deinen eigenen Anforderungen, z.B. Verträge, NIS2-Richtlinie und GDPR. Speichere persönlich identifizierbare Protokolle nicht länger als nötig.

Rechenbeispiel

Die eigenen Standardwerte des Rechners sind eingesetzt. Die Zahlen sind mit genau der Formel berechnet, die das Werkzeug verwendet.

Sat ind

Ereignisse pro Sekunde durchschnittlich (EPS)1.500 EPS
Durchschnittliche Ereignisgröße (Messung auf deinen eigenen Logs)500 byte
Lagerdauer180 dage
Komprimeringsforhold (1 = ingen; se platformens datablad)1 : 1

Geber

Lagerbedarf während der gesamten Lagerzeit11.664 GB
Rohdaten pro Tag64,8 GB
Ereignisse pro Tag129,6 mio.
Lagerbedarf in TB11,66 TB

Nur für Mitglieder

Der Rechner selbst ist gesperrt

Lege einen kostenlosen Zugang an, um alle Artikel, Rechner, Vorlagen und das Sortiment freizuschalten — und Zugriff auf Quizze und Klassen zu erhalten. Es dauert unter einer Minute: Name, E-Mail und ein Passwort. Keine Zahlungskarte.

Kostenlosen Benutzer erstellen →Anmelden

Willst du zuerst etwas ausprobieren? Sieh, was du ohne Konto nutzen kannst — der Junior-Bereich, das Lexikon, die Videos und mehr.

Sådan bruger du den

Når en SIEM eller en log-platform skal købes eller udvides, er lageret ofte den største udgift. Før du får et tilbud, skal du kunne regne GB pr. dag og hvor meget opbevaringstiden kræver. Beregneren gør det ud fra hændelser pr. sekund, størrelse, dage og komprimering.

Schritt für Schritt

Mål eller skøn den gennemsnitlige EPS fra firewalls, servere, AD og endpoints (platformens prøveperiode eller syslog-serverens statistik).
Find den gennemsnitlige størrelse pr. hændelse ved at dele en dags logfil med antal linjer.
Gang EPS med byte og med 86.400 sekunder. Del med 10⁹ for GB pr. dag.
Gang med opbevaringsdagene, og del med platformens komprimeringsforhold.
Læg margin til spidsbelastning, indeks og replikering efter leverandørens anvisning.

Typische Fehler

At dimensionere på gennemsnittet. Ved et angreb eller en fejl kan EPS blive mange gange højere.
At regne kun med de rå logs. Indeks, replikering og varm og kold opbevaring kan fordoble behovet.
At sende alt. Filtrér støj som debug-logs og gentagne heartbeat-beskeder ved kilden, så både lager og licens bliver billigere.

Beispiele aus dem Alltag

Mellemstor virksomhed

En virksomhed med 300 ansatte sender i snit 1.500 hændelser i sekundet på ca. 500 byte og vil gemme dem i 180 dage. Platformen komprimerer ikke i den varme del.

Ereignisse pro Sekunde durchschnittlich (EPS): 1.500 EPS
Durchschnittliche Ereignisgröße (Messung auf deinen eigenen Logs): 500 Byte
Lagerdauer: 180 Tage
Komprimeringsforhold (1 = ingen; se platformens datablad): 1 : 1

Es bedeutet: Det giver 64,8 GB rå logdata om dagen og et lagerbehov på 11.664 GB (11,66 TB) i hele perioden.

Skole med lille log-server

En erhvervsskole sender 300 hændelser i sekundet på ca. 400 byte, gemmer i 90 dage, og platformen komprimerer 5 : 1.

Ereignisse pro Sekunde durchschnittlich (EPS): 300 EPS
Durchschnittliche Ereignisgröße (Messung auf deinen eigenen Logs): 400 Byte
Lagerdauer: 90 Tage
Komprimeringsforhold (1 = ingen; se platformens datablad): 5 : 1

Es bedeutet: Det er 10,4 GB om dagen og 187 GB i alt efter komprimering. Det kan stå på en almindelig server.

Stor installation med et års historik

En region sender 5.000 hændelser i sekundet på 800 byte, skal gemme et år, og arkivet komprimerer 8 : 1.

Ereignisse pro Sekunde durchschnittlich (EPS): 5.000 EPS
Durchschnittliche Ereignisgröße (Messung auf deinen eigenen Logs): 800 Byte
Lagerdauer: 365 Tage
Komprimeringsforhold (1 = ingen; se platformens datablad): 8 : 1

Es bedeutet: Det er 345,6 GB rå data hver dag, 432 mio. hændelser, og arkivet skal rumme 15,77 TB.

Faustregel

1.000 EPS på 500 byte giver ca. 43 GB om dagen.

So überprüfst du die Antwort

Efter en uges drift: sammenlign platformens målte daglige indtag med beregnerens GB pr. dag, og ret byte pr. hændelse til.