أحداث نظام SIEM في الثانية (EPS)

خطوات الاستخدام

الخطوة الأولى: إدخال عدد مصادر السجلات (logSources). هذا الرقم يمثل العدد الإجمالي للأجهزة أو الأنظمة التي تُرسل سجلات إلى نظام SIEM الخاص بك. يُعد تحديد هذا العدد بدقة أمراً بالغ الأهمية لأنه يشكل الأساس لحساب معدل الأحداث الكلي. كلما زاد عدد مصادر السجلات، زاد العبء على نظام SIEM. يتطلب حساب هذا الرقم إجراء جرد شامل لجميع مصادر السجلات بما في ذلك الخوادم، أجهزة الشبكة، تطبيقات الأمان، وقواعد البيانات. يتم حساب EPS بقسمة عدد الأحداث الإجمالي على عدد الثواني في فترة القياس.

الخطوة الثانية: إدخال متوسط عدد الأحداث في الثانية لكل مصدر (avgEvents). هذا المتوسط يعكس معدل توليد السجلات لكل مصدر في الظروف العادية. يختلف هذا العدد اختلافاً كبيراً اعتماداً على نوع المصدر: مثلاً، جدار ناري قد يُولد آلاف الأحداث في الثانية، بينما خادم ويب قد يُولد مئات. لحساب هذا المتوسط بدقة، يُنصح بمراقبة المصادر الممثلة لفترة زمنية كافية (مثلاً أسبوع) وأخذ المتوسط الحسابي. هذا المتوسط الإحصائي يُستخدم لتحويل عدد الأحداث الإجمالي إلى معدل في الثانية.

الخطوة الثالثة: إدخال معامل الذروة (peakMultiplier). هذا المعامل يمثل مضاعف الزيادة المتوقعة في كثافة الأحداث خلال أوقات الذروة (مثل هجوم إلكتروني). قيمته النموذجية تتراوح بين 2 و 10. يُفضل استخدام قيمة 5 كنقطة بداية للحصول على هامش أمان. الغرض من هذا المعامل هو ضمان أن النظام يمكنه التعامل مع الأحمال القصوى دون التأثير على الأداء. يتم ضرب حاصل ضرب الخطوتين السابقتين في هذا المعامل للحصول على أعلى معدل لتخطيط السعة.

الأسئلة الشائعة

EPS اختصار لـ Events Per Second (الأحداث في الثانية)، وهو مقياس حاسم في أنظمة SIEM لتقييم أداء السعة والمعالجة. يشير إلى عدد السجلات أو الأحداث الأمنية التي يمكن للنظام استقبالها وتحليلها في كل ثانية. أهمية EPS تكمن في أنه يحدد قدرة النظام على مواكبة معدل التدفق من مصادر السجلات دون تأخير أو فقدان للبيانات. عندما يتجاوز معدل الأحداث قدرة النظام المعالجة، قد يحدث فقدان للأحداث، مما يؤثر سلباً على القدرة على كشف التهديدات في الوقت الحقيقي. لذلك، يُعد حساب EPS بدقة أمراً أساسياً لتخطيط السعة واختيار النظام المناسب. كما أن EPS يؤثر على تكلفة البنية التحتية، حيث أن أنظمة SIEM ذات القدرة العالية على EPS تكون أكثر تكلفة وتتطلب موارد أكبر (معالج، ذاكرة، تخزين). من المهم ملاحظة أن EPS ليس ثابتاً؛ يعتمد على عوامل مثل عدد المصادر، كثافة الأحداث، وتغيرات الذروة. لذا، يجب إعادة الحساب بشكل دوري وتحديث النظام وفقاً للنمو.

معامل الذروة هو أحد أهم العوامل في تخطيط سعة SIEM، لأنه يتيح تقدير الأحمال القصوى التي قد يتعرض لها النظام خلال الهجمات أو الأحداث غير العادية. بدون أخذ هذا المعامل في الاعتبار، قد يكون النظام غير قادر على التعامل مع الزيادات المفاجئة في الأحداث، مما يؤدي إلى فقدان البيانات أو تأخير التحليل. على سبيل المثال، إذا كان المعدل العادي هو 100,000 EPS ولكن خلال هجوم DDoS يرتفع إلى 500,000 EPS، فإن معامل الذروة هنا هو 5. إذا تم اختيار نظام SIEM بناءً على المعدل العادي فقط، فسيفشل في التعامل مع الذروة. لذلك، يُوصى باستخدام معامل ذروة عالٍ (عادة بين 5 و 10) للحصول على هامش أمان كافٍ. هذا الهامش يسمح للنظام بمعالجة الأحمال الزائدة مؤقتاً دون الحاجة إلى توسعة فورية. ومع ذلك، يجب موازنة هذا الهامش مع التكلفة، لأن زيادة السعة تؤدي إلى تكاليف أعلى. أيضاً، يمكن استخدام استراتيجيات مثل الموازنة بين الخوادم أو تخفيف الضغط عبر التحديد الأولوية للأحداث الهامة.

لتحقيق دقة عالية في حساب EPS، يجب اتباع الخطوات التالية: أولاً، القيام بجرد شامل ودقيق لجميع مصادر السجلات. لا تقتصر على الخوادم والشبكات فقط، بل تشمل التطبيقات وقواعد البيانات وأجهزة الأمان مثل جدران الحماية وأنظمة كشف التطفل. ثانياً، قياس متوسط الأحداث لكل مصدر باستخدام مراقبة فعلية على مدى فترة زمنية طويلة (شهر مثلاً) لأخذ التغيرات الموسمية في الاعتبار. استخدم أدوات مثل Syslog أو أدوات مراقبة الأداء لجمع البيانات. ثالثاً، تقدير معامل الذروة بناءً على سيناريوهات الهجوم السابقة أو اختبارات الإجهاد. إذا لم تكن لديك بيانات تاريخية، ابدأ بمعامل 5 ثم زده تدريجياً. رابعاً، ضع في اعتبارك أن متوسط الأحداث قد يختلف في أوقات مختلفة من اليوم. لذا، احسب EPS على أساس الساعة (أو الدقيقة) لتكون أكثر دقة. خامساً، لا تنسَ أن تأخذ في الاعتبار الأحداث المتوقعة من مصادر جديدة عند التوسع المستقبلي. سادساً، استخدم أدوات تحليل النماذج مثل BlackBox أو أدوات التخطيط المضمنة في SIEM للحصول على تقديرات أكثر دقة. أخيراً، قم بإعادة الحساب بشكل دوري (كل 6 أشهر مثلاً) لأن البيئات تتغير.

العلاقة بين EPS وحجم التخزين مباشرة وحيوية لتخطيط التخزين. كل حدث (سجل) له حجم معين بالبايتات، والذي يختلف حسب نوع السجل ومحتواه. معادلة حساب حجم التخزين اليومي هي: التخزين اليومي = EPS × عدد الثواني في اليوم (86,400) × متوسط حجم الحدث (بالبايت). على سبيل المثال، نظام SIEM بمعدل 50,000 EPS ومتوسط حجم حدث 500 بايت سيحتاج إلى تخزين يومي قدره 50,000 × 86,400 × 500 = 2.16 تيرابايت يومياً. هذا الرقم مهم لتحديد سعة التخزين الإجمالية والفترة التي يمكن الاحتفاظ بالسجلات فيها (فترة الاستبقاء). أيضاً، تؤثر تقنيات الضغط على حجم التخزين؛ حيث يمكن لبعض أنظمة SIEM ضغط الأحداث بنسبة تصل إلى 5:1، مما يقلل الحجم الفعلي. بالإضافة إلى ذلك، فإن التطبيع والتصفية يقللان من عدد الأحداث المخزنة، مما يقلل من التخزين. لذا، لحساب دقيق، يجب أن تأخذ في الاعتبار ضغط النظام وسياسات الاحتفاظ. ضع في اعتبارك أيضاً أن تخزين الأحداث طويل الأجل (للتداولات القانونية) يتطلب سعة أكبر. في التخطيط، يُنصح بإضافة هامش 20-30% لمواجهة النمو والتغيرات.

أحداث نظام SIEM في الثانية (EPS)

أدخل القيم

خطوات الاستخدام

أمثلة محلولة

أمثلة محسوبة

الأسئلة الشائعة

أدخل القيم

خطوات الاستخدام

2مثال 2: شركة كبيرة لديها 1,000 مصدر سجل (خوادم، أجهزة، تطبيقات) بمتوسط 100 حدث لكل مصدر في الثانية. خلال هجوم DDoS، يرتفع الحمل 20 ضعفاً. احسب EPS في الظروف العادية وفي الذروة.

أمثلة محسوبة

الأسئلة الشائعة