Почему недельный подсчет EPS в SIEM может быть выгоднее суточного

SIEM может вести подсчёт EPS по суткам, неделям или месяцам. Некоторые SIEM контролирует EPS по трем периодам сразу. В SIEM Alertix от NGR Softlab используется средний «чистый» недельный EPS. Такой подход учитывает нагрузку за неделю целиком, позволяя легально использовать дневной запас мощности за счёт ночного и выходного простоя. Именно поэтому в некоторых сценариях 1000 EPS в лицензировании Alertix может быть эквивалентно до 3000 EPS в системах с другими моделями расчета. Рассмотрим несколько сценариев.

Сценарий 1: компания "8Х5"
Представьте компанию, которая работает по графику 8Х5. Днем, с 10:00 до 18:00 система генерирует 3000 EPS, а ночью и в выходные – всего 200 EPS. Если лицензирование SIEM привязано к суточным или пиковым значениям, заказчик фактически оплачивает мощность, которая большую часть времени остается невостребованной. Недельное же окно усредняет эти значения, позволяя легально использовать «дневной» запас мощности за счёт «ночного» и «выходного» простоя. Добавим, что при распределённом развёртывании Alertix лицензируется единым пулом EPS на всю иерархию, без умножения стоимости на количество площадок.

Сценарий 2: Защита от «логштормов» (Log Storms)
Резкие всплески EPS бывают не только из-за хакерских атак, но и просто из-за того, что инфраструктура живет своей жизнью, и в ней возможно всё: сбой в скрипте бэкапов, который начал писать ошибки в лог каждую миллисекунду; массовое обновление ПО или перезагрузка парка машин в воскресенье вечером; сетевые петли или сбои в работе коммутаторов. При суточном лимите один такой инцидент может «сжечь» лицензию на весь месяц. Недельный буфер позволяет безболезненно переварить этот аномальный всплеск.

Сценарий 3: компания подвергается атаке
Если система с суточным лимитом EPS в момент атаки упирается в потолок, то она начинает отбрасывать события (dropping logs). В результате компания остается «слепой» именно тогда, когда ей нужно видеть всё.