خطوات الاستخدام
الخطوة الأولى: إدخال عدد مصادر السجلات (logSources). هذا الرقم يمثل العدد الإجمالي للأجهزة أو الأنظمة التي تُرسل سجلات إلى نظام SIEM الخاص بك. يُعد تحديد هذا العدد بدقة أمراً بالغ الأهمية لأنه يشكل الأساس لحساب معدل الأحداث الكلي. كلما زاد عدد مصادر السجلات، زاد العبء على نظام SIEM. يتطلب حساب هذا الرقم إجراء جرد شامل لجميع مصادر السجلات بما في ذلك الخوادم، أجهزة الشبكة، تطبيقات الأمان، وقواعد البيانات. يتم حساب EPS بقسمة عدد الأحداث الإجمالي على عدد الثواني في فترة القياس.
الخطوة الثانية: إدخال متوسط عدد الأحداث في الثانية لكل مصدر (avgEvents). هذا المتوسط يعكس معدل توليد السجلات لكل مصدر في الظروف العادية. يختلف هذا العدد اختلافاً كبيراً اعتماداً على نوع المصدر: مثلاً، جدار ناري قد يُولد آلاف الأحداث في الثانية، بينما خادم ويب قد يُولد مئات. لحساب هذا المتوسط بدقة، يُنصح بمراقبة المصادر الممثلة لفترة زمنية كافية (مثلاً أسبوع) وأخذ المتوسط الحسابي. هذا المتوسط الإحصائي يُستخدم لتحويل عدد الأحداث الإجمالي إلى معدل في الثانية.
الخطوة الثالثة: إدخال معامل الذروة (peakMultiplier). هذا المعامل يمثل مضاعف الزيادة المتوقعة في كثافة الأحداث خلال أوقات الذروة (مثل هجوم إلكتروني). قيمته النموذجية تتراوح بين 2 و 10. يُفضل استخدام قيمة 5 كنقطة بداية للحصول على هامش أمان. الغرض من هذا المعامل هو ضمان أن النظام يمكنه التعامل مع الأحمال القصوى دون التأثير على الأداء. يتم ضرب حاصل ضرب الخطوتين السابقتين في هذا المعامل للحصول على أعلى معدل لتخطيط السعة.
الخطوة الرابعة: إجراء الحساب النهائي. معادلة حساب EPS هي: EPS = عدد مصادر السجلات × متوسط الأحداث لكل مصدر في الثانية × معامل الذروة. الناتج هو عدد الأحداث المتوقعة في الثانية في أسوأ الظروف. هذا الرقم هو القيمة الحرجة التي تُستخدم لتحديد متطلبات السعة لنظام SIEM، مثل حجم التخزين المطلوب، قدرة المعالجة، وعرض النطاق الترددي. يجب مقارنة هذه القيمة مع مواصفات نظام SIEM لاختيار النظام المناسب أو تحسين الإعدادات الحالية.
الخطوة الخامسة: تحليل النتيجة وتطبيقها. بعد الحصول على قيمة EPS، يمكن استخدامها في عدة قرارات: اختيار نظام SIEM المناسب بناءً على مواصفات EPS المُعلنة، تقدير حجم التخزين لتلك الفترة الزمنية (مثلاً EPS × 86400 ثانية في اليوم) لتحديد مساحة التخزين اليومية، وتقييم الحاجة إلى توسيع البنية التحتية (إضافة خوادم أو استخدام موازنة الحمل). يجب تذكر أن هذه القيمة مجرد تقدير، لذا يُوصى بإعادة الحساب مع تغير عدد المصادر أو متوسط الأحداث.
أمثلة محلولة
تطبيقات عملية على أحداث نظام SIEM في الثانية (EPS) بخطوات الحل كاملة.
الحل
نقوم أولاً بحساب عدد مصادر السجلات الإجمالي: 50 خادماً + 100 جهاز شبكة + 200 نقطة نهاية = 350 مصدراً. متوسط الأحداث لكل مصدر هو 10 أحداث/ثانية. معامل الذروة = 4. تطبيق المعادلة: EPS = 350 × 10 × 4 = 14,000 حدث في الثانية. هذا يعني أن نظام SIEM يجب أن يكون قادراً على معالجة 14,000 حدث في الثانية في ذروة التشغيل. بناءً على ذلك، تحتاج الشركة إلى نظام SIEM بمواصفات EPS لا تقل عن 14,000. لتقدير التخزين اليومي، 14,000 × 86,400 = 1,209,600,000 حدث في اليوم. إذا كان متوسط حجم الحدث 500 بايت، فإن التخزين المطلوب يومياً هو 1,209,600,000 × 500 بايت ≈ 604.8 غيغابايت. هذا المثال يوضح كيفية ترجمة EPS إلى احتياجات تخزينية وعرض النطاق الترددي.
الحل
الحساب العادي: EPS = 1,000 × 100 = 100,000 حدث في الثانية. معامل الذروة = 20. EPS في الذروة = 1,000 × 100 × 20 = 2,000,000 حدث في الثانية. هذا رقم ضخم يتطلب بنية تحتية قوية مثل استخدام SIEM موزع عبر عدة خوادم أو استخدام تقنيات ضغط البيانات والفهرسة السريعة. تحتاج الشركة إلى نظام SIEM يمكنه التعامل مع 2 مليون EPS على الأقل. لتقدير التخزين اليومي في الذروة: 2,000,000 × 86,400 = 172,800,000,000 حدث في اليوم. إذا كان حجم الحدث 1 كيلوبايت، فإن التخزين المطلوب يومياً هو 172.8 تيرابايت! هذا يظهر أهمية تخفيف الأحداث غير الضرورية (التطبيع والتصفية) لتقليل الحمل على النظام. ملاحظة على الوحدات: هذا الحساب يفترض 1000 بايت لكل حدث، بينما تعرض الحاسبة تفصيل التخزين بافتراض 500 بايت كما في المثال الأول، وعلى هذا الافتراض يكون التخزين اليومي للذروة 86,400 غيغابايت أي 86.4 تيرابايت.
أمثلة محسوبة
قيم مُدخَلة ونتيجة محسوبة فعليًا بواسطة أحداث نظام SIEM في الثانية (EPS).
مرجع — 350 مصدرًا بمعامل 4: 14,000 EPS
- عدد مصادر السجلات
- 350
- متوسط الأحداث لكل مصدر في الثانية
- 10
- مضاعف الذروة (النموذجي 2-10)
- 4
مرجع — ذروة DDoS: مليونا حدث في الثانية
- عدد مصادر السجلات
- 1,000
- متوسط الأحداث لكل مصدر في الثانية
- 100
- مضاعف الذروة (النموذجي 2-10)
- 20
مرجع — مصدر واحد بمعامل 1: 1 EPS
- عدد مصادر السجلات
- 1
- متوسط الأحداث لكل مصدر في الثانية
- 1
- مضاعف الذروة (النموذجي 2-10)
- 1
مرجع — عشرة مصادر بمعامل 5: 250 EPS
- عدد مصادر السجلات
- 10
- متوسط الأحداث لكل مصدر في الثانية
- 5
- مضاعف الذروة (النموذجي 2-10)
- 5
مرجع — معامل ذروة منخفض: تحذير
- عدد مصادر السجلات
- 50
- متوسط الأحداث لكل مصدر في الثانية
- 20
- مضاعف الذروة (النموذجي 2-10)
- 1.5