Koppel logbronnen aan een onderzoeksvraag
We inventariseren welke servers, applicaties en netwerkdiensten gegevens aanleveren. Beheerders geven aan waarvoor die informatie wordt gebruikt. Dubbele aanlevering, tijdelijke foutopsporing en ongebruikte verzamelingen worden apart onderzocht, zonder onmiddellijk alle omvangrijke bronnen als onnodig te bestempelen.