§ 17

SIEM: loglager ud fra hændelser pr. sekund

Hvor meget lager skal log-platformen have?

Svar: Før en SIEM- eller log-platform købes eller udvides, skal lageret dimensioneres. Det afgøres af hvor mange hændelser pr. sekund (EPS) jeres firewalls, servere og AD sender, hvor store de er i gennemsnit, hvor mange dage de skal gemmes, og hvor godt platformen komprimerer. Beregneren giver GB pr. dag og det samlede lagerbehov.

Formel

Byte pr. dag = EPS × byte pr. hændelse × 86.400 sekunder

GB pr. dag = byte pr. dag ÷ 1.000.000.000

Samlet lager = GB pr. dag × opbevaringsdage ÷ komprimeringsforhold

Symboler og enheder i formlen
Symbol	Betydning	Enhed
eps	Hændelser pr. sekund i gennemsnit (EPS)	EPS
byte_pr_haendelse	Gennemsnitlig størrelse pr. hændelse (mål på jeres egne logs)	byte
dage	Opbevaringstid	dage
komprimering	Komprimeringsforhold (1 = ingen; se platformens datablad)	: 1
=	Lagerbehov i hele opbevaringstiden	GB
=	Rå logdata pr. dag	GB
=	Hændelser pr. dag	mio.
=	Lagerbehov i TB	TB

Gyldighed og kilde

Kilde: Log management-dimensionering (EPS × byte × tid) · kompetencemål om SIEM og log management

Gælder ikke når

Dimensionér på spidsbelastningen, ikke kun gennemsnittet, og læg indeks og replikering oveni efter platformens dokumentation. Opbevaringstiden er en beslutning ud fra jeres egne krav, fx kontrakter, NIS2-politik og GDPR. Gem ikke personhenførbare logs længere end nødvendigt.

Regneeksempel

Beregnerens egne standardværdier sat ind. Tallene er regnet med præcis den formel værktøjet bruger.

Sat ind

Hændelser pr. sekund i gennemsnit (EPS)1.500 EPS
Gennemsnitlig størrelse pr. hændelse (mål på jeres egne logs)500 byte
Opbevaringstid180 dage
Komprimeringsforhold (1 = ingen; se platformens datablad)1 : 1

Giver

Lagerbehov i hele opbevaringstiden11.664 GB
Rå logdata pr. dag64,8 GB
Hændelser pr. dag129,6 mio.
Lagerbehov i TB11,66 TB

Kun for medlemmer

Selve beregneren er låst

Opret en gratis bruger for at låse op for alle artikler, beregnere, skabeloner og sortiment — og få adgang til quizzer og klasser. Det tager under et minut: navn, email og en adgangskode. Intet betalingskort.

Opret gratis bruger →Log ind

Vil du prøve noget først? Se hvad du kan bruge uden konto — junior-zonen, leksikonet, videoerne og mere.

Sådan bruger du den

Når en SIEM eller en log-platform skal købes eller udvides, er lageret ofte den største udgift. Før du får et tilbud, skal du kunne regne GB pr. dag og hvor meget opbevaringstiden kræver. Beregneren gør det ud fra hændelser pr. sekund, størrelse, dage og komprimering.

Trin for trin

Mål eller skøn den gennemsnitlige EPS fra firewalls, servere, AD og endpoints (platformens prøveperiode eller syslog-serverens statistik).
Find den gennemsnitlige størrelse pr. hændelse ved at dele en dags logfil med antal linjer.
Gang EPS med byte og med 86.400 sekunder. Del med 10⁹ for GB pr. dag.
Gang med opbevaringsdagene, og del med platformens komprimeringsforhold.
Læg margin til spidsbelastning, indeks og replikering efter leverandørens anvisning.

Typiske fejl

At dimensionere på gennemsnittet. Ved et angreb eller en fejl kan EPS blive mange gange højere.
At regne kun med de rå logs. Indeks, replikering og varm og kold opbevaring kan fordoble behovet.
At sende alt. Filtrér støj som debug-logs og gentagne heartbeat-beskeder ved kilden, så både lager og licens bliver billigere.

Eksempler fra hverdagen

Mellemstor virksomhed

En virksomhed med 300 ansatte sender i snit 1.500 hændelser i sekundet på ca. 500 byte og vil gemme dem i 180 dage. Platformen komprimerer ikke i den varme del.

Hændelser pr. sekund i gennemsnit (EPS): 1.500 EPS
Gennemsnitlig størrelse pr. hændelse (mål på jeres egne logs): 500 byte
Opbevaringstid: 180 dage
Komprimeringsforhold (1 = ingen; se platformens datablad): 1 : 1

Det betyder: Det giver 64,8 GB rå logdata om dagen og et lagerbehov på 11.664 GB (11,66 TB) i hele perioden.

Skole med lille log-server

En erhvervsskole sender 300 hændelser i sekundet på ca. 400 byte, gemmer i 90 dage, og platformen komprimerer 5 : 1.

Hændelser pr. sekund i gennemsnit (EPS): 300 EPS
Gennemsnitlig størrelse pr. hændelse (mål på jeres egne logs): 400 byte
Opbevaringstid: 90 dage
Komprimeringsforhold (1 = ingen; se platformens datablad): 5 : 1

Det betyder: Det er 10,4 GB om dagen og 187 GB i alt efter komprimering. Det kan stå på en almindelig server.

Stor installation med et års historik

En region sender 5.000 hændelser i sekundet på 800 byte, skal gemme et år, og arkivet komprimerer 8 : 1.

Hændelser pr. sekund i gennemsnit (EPS): 5.000 EPS
Gennemsnitlig størrelse pr. hændelse (mål på jeres egne logs): 800 byte
Opbevaringstid: 365 dage
Komprimeringsforhold (1 = ingen; se platformens datablad): 8 : 1

Det betyder: Det er 345,6 GB rå data hver dag, 432 mio. hændelser, og arkivet skal rumme 15,77 TB.

Tommelfingerregel

1.000 EPS på 500 byte giver ca. 43 GB om dagen.

Sådan tjekker du svaret

Efter en uges drift: sammenlign platformens målte daglige indtag med beregnerens GB pr. dag, og ret byte pr. hændelse til.