SUPPRIMER Portée de la journalisation

Selon la taille de l’organisation, le volume de journaux générés peut devenir considérable. Un seul poste de travail peut produire beaucoup de journaux en peu de temps, et la plupart sont normaux : les analyser sans discernement ne présente aucun intérêt.

Tout n’a pas besoin d’être journalisé. Par exemple, si l’équipe d’infrastructure prévoit des tests sur un réseau isolé, il peut être pertinent de désactiver la journalisation au préalable. De même, les appareils invités sur un réseau restreint peuvent ne pas nécessiter de journalisation.

Dans votre analyse, priorisez le type de trafic, ses sources et destinations, ainsi que les événements de sécurité associés. Un trafic observé à une fréquence inattendue (plus ou moins souvent que prévu) mérite une investigation. Connaître le comportement normal de votre réseau vous aide à repérer les anomalies.