§ 17

SIEM: magazyn dziennika z zdarzeń na sekundę

Ile magazynu powinien mieć platform logistyki?

Odpowiedź: Zanim platforma SIEM lub dziennika będzie zakupiona lub rozszerzona, wymiary magazynu. Jest to określone przez liczbę zdarzeń na sekundę (EPS), które wysyłają Twoje zapory sieciowe, serwery i AD, jak duże są średnio, ile dni muszą być przechowywane i jak dobrze platforma kompresuje. Kalkulator daje GB dziennie i całkowite zapotrzebowanie na przechowywanie.

Wzór

Byte pr. dag = EPS × byte pr. hændelse × 86.400 sekunder

GB pr. dag = byte pr. dag ÷ 1.000.000.000

Samlet lager = GB pr. dag × opbevaringsdage ÷ komprimeringsforhold

Symbole i jednostki we wzorze
Symbol	Znaczenie	Jednostka
eps	Zdarzenia na sekundę średnio (EPS)	EPS
byte_pr_haendelse	Średni rozmiar na zdarzenie (pomiar na Twoich dziennikach)	byte
dage	Czas przechowywania	dage
komprimering	Komprimeringsforhold (1 = ingen; se platformens datablad)	: 1
=	Zapas przez całą czas przechowywania	GB
=	Surowe dane dziennika dziennie	GB
=	Zdarzenia dziennie	mio.
=	Zapas w TB	TB

Ważność i źródło

Źródło: Wymiarowanie zarządzania dziennikami (EPS × bajt × czas) · cele kompetencyjne dotyczące SIEM i zarządzania dziennikami

Nie dotyczy, gdy

Wymiary na szczytowym obciążeniu, a nie tylko średnią, i dodaj indeksowanie i replikację na podstawie dokumentacji platformy. Czas przechowywania to decyzja na podstawie Twoich własnych wymagań, np. umowy, polityka NIS2 i RODO. Nie przechowuj dzienników zawierających dane osobowe dłużej niż to konieczne.

Przykład obliczeniowy

Wstawiono domyślne wartości kalkulatora. Liczby obliczono dokładnie tym wzorem, którego używa narzędzie.

Wstawiono

Zdarzenia na sekundę średnio (EPS)1500 EPS
Średni rozmiar na zdarzenie (pomiar na Twoich dziennikach)500 byte
Czas przechowywania180 dage
Komprimeringsforhold (1 = ingen; se platformens datablad)1 : 1

Dawca

Zapas przez całą czas przechowywania11 664 GB
Surowe dane dziennika dziennie64,8 GB
Zdarzenia dziennie129,6 mio.
Zapas w TB11,66 TB

Tylko dla członków

Sam kalkulator jest zablokowane

Utwórz bezpłatne konto, aby odblokować wszystkie artykuły, kalkulatory, szablony i asortyment — i uzyskać dostęp do quizów i klas. Zajmuje to poniżej minuty: imię, email i hasło. Żadna karta kredytowa.

Utwórz darmowe konto →Zaloguj się

Chcesz najpierw czegoś spróbować? Zobacz, czego możesz używać bez konta — strefa junior, leksykon, filmy i więcej.

Sådan bruger du den

Når en SIEM eller en log-platform skal købes eller udvides, er lageret ofte den største udgift. Før du får et tilbud, skal du kunne regne GB pr. dag og hvor meget opbevaringstiden kræver. Beregneren gør det ud fra hændelser pr. sekund, størrelse, dage og komprimering.

Krok za krokiem

Mål eller skøn den gennemsnitlige EPS fra firewalls, servere, AD og endpoints (platformens prøveperiode eller syslog-serverens statistik).
Find den gennemsnitlige størrelse pr. hændelse ved at dele en dags logfil med antal linjer.
Gang EPS med byte og med 86.400 sekunder. Del med 10⁹ for GB pr. dag.
Gang med opbevaringsdagene, og del med platformens komprimeringsforhold.
Læg margin til spidsbelastning, indeks og replikering efter leverandørens anvisning.

Typowe błędy

At dimensionere på gennemsnittet. Ved et angreb eller en fejl kan EPS blive mange gange højere.
At regne kun med de rå logs. Indeks, replikering og varm og kold opbevaring kan fordoble behovet.
At sende alt. Filtrér støj som debug-logs og gentagne heartbeat-beskeder ved kilden, så både lager og licens bliver billigere.

Przykłady z codzienności

Mellemstor virksomhed

En virksomhed med 300 ansatte sender i snit 1.500 hændelser i sekundet på ca. 500 byte og vil gemme dem i 180 dage. Platformen komprimerer ikke i den varme del.

Zdarzenia na sekundę średnio (EPS): 1500 EPS
Średni rozmiar na zdarzenie (pomiar na Twoich dziennikach): 500 bajt
Czas przechowywania: 180 dni
Komprimeringsforhold (1 = ingen; se platformens datablad): 1 : 1

To znaczy: Det giver 64,8 GB rå logdata om dagen og et lagerbehov på 11 664 GB (11,66 TB) i hele perioden.

Skole med lille log-server

En erhvervsskole sender 300 hændelser i sekundet på ca. 400 byte, gemmer i 90 dage, og platformen komprimerer 5 : 1.

Zdarzenia na sekundę średnio (EPS): 300 EPS
Średni rozmiar na zdarzenie (pomiar na Twoich dziennikach): 400 bajt
Czas przechowywania: 90 dni
Komprimeringsforhold (1 = ingen; se platformens datablad): 5 : 1

To znaczy: Det er 10,4 GB om dagen og 187 GB i alt efter komprimering. Det kan stå på en almindelig server.

Stor installation med et års historik

En region sender 5.000 hændelser i sekundet på 800 byte, skal gemme et år, og arkivet komprimerer 8 : 1.

Zdarzenia na sekundę średnio (EPS): 5000 EPS
Średni rozmiar na zdarzenie (pomiar na Twoich dziennikach): 800 bajt
Czas przechowywania: 365 dni
Komprimeringsforhold (1 = ingen; se platformens datablad): 8 : 1

To znaczy: Det er 345,6 GB rå data hver dag, 432 mio. hændelser, og arkivet skal rumme 15,77 TB.

Reguła praktyczna

1.000 EPS på 500 byte giver ca. 43 GB om dagen.

Jak sprawdzić odpowiedź

Efter en uges drift: sammenlign platformens målte daglige indtag med beregnerens GB pr. dag, og ret byte pr. hændelse til.