Централизованное журналирование

Централизованное журналирование — организация, при которой серверы, сетевые устройства, приложения и средства безопасности передают журнальные записи в единое хранилище или группу связанных сервисов. Это уменьшает зависимость анализа от локального доступа к отдельным узлам и позволяет применять общие правила хранения и поиска. Для практического использования необходимо определить форматы и поля событий, защитить канал передачи, синхронизировать время и задать сроки хранения с учётом объёма данных. Доступ к хранилищу и право удаления записей обычно ограничивают; иначе журнал может быть изменён субъектом, чьи действия требуется проверить. Централизованное журналирование применяют для эксплуатации, расследований и выполнения требований к аудиту. Оно отличается от корреляции событий безопасности тем, что само по себе не выявляет взаимосвязи или инциденты, а предоставляет данные и инфраструктуру, на которых такой анализ может выполняться.