Waarom levert meer logging niet automatisch betere security op?
Meer logging levert niet automatisch betere security op, omdat rauwe data uit firewalls en netwerk-appliances de SIEM-kosten opdrijven zonder extra risicoreductie. MSP’s die sturen op incidenten en alerts in plaats van volume, mitigeren risico’s bij de bron in plaats van achteraf in een SIEM.
Welke data heeft een MSP écht nodig voor risicodetectie?
Een MSP heeft geen rauwe firewall-logs nodig, maar de incident- en alertdataset waarop correlatie tussen identity, endpoint, data en netwerk mogelijk is. Door de firewall of netwerk-appliance zelf het recht te geven risico’s te mitigeren op het moment dat ze plaatsvinden, verdwijnt de vertraging die inherent is aan centrale SIEM-verwerking. Elke databron krijgt een expliciete business case: nodig voor detectie, nodig voor compliance, of niet verzamelen.
-
Wat kost rauwe firewall-data in een SIEM?
Firewalls en netwerk-appliances genereren de grootste datavolumes van alle bronnen. Standaard alles doorzetten naar een centrale SIEM leidt tot hoge licentie- en verwerkingskosten zonder extra detectiewaarde.
-
Waarom is mitigatie bij de bron sneller?
Een firewall die zelf mag ingrijpen stopt een dreiging op het moment van detectie. In een SIEM-flow zit altijd delay tussen datalevering en het afgaan van de security use case, ook met SOAR-automatisering.
-
Wanneer wel loggen: detectie of compliance?
Data verzamelen is verdedigbaar als het bijdraagt aan risicodetectie of aantoonbaar nodig is voor compliance. Bij elke bron hoort een uitlegbaar doel, en de strategie kan per kwartaal verschuiven.
Data verzamelen om het verzamelen van data, daar zit voor mij niet de waarde.
