Hoe onderbouwen we de capaciteitskeuze?
Meer opslag is niet altijd de oplossing; bronselectie, filterkwaliteit en verwerkingssnelheid kunnen eerst aandacht vragen. Bronvolume, collectorstatus, wachtrijen, verloren gebeurtenissen, zoektijd, opslaggroei en een testsignaal worden samen gecontroleerd. U ziet of filtering, workerverdeling, licentie, storage of technische architectuur de eerstvolgende verbetering vraagt.
Na aanpassing sturen we een herkenbaar testsignaal en controleren we ontvangst, juiste tijd en vindbaarheid voor onderzoek. Grenzen voor achterstand, verlies en opslaggroei worden opgenomen in monitoring en periodiek met securitybeheer besproken. Een logbron die plotseling veel meer gebeurtenissen levert, kan een echte beveiligingsmelding, foutieve configuratie of onnodige ruis zijn.
Hoe houden we de nieuwe ruimte vast?
Daarom beperken we niet automatisch de instroom. Eerst worden bron, tijdstip en onderzoekswaarde met securitybeheer beoordeeld. Bij aanpassing van filtering bewaren we een representatieve steekproef en controleren we dat belangrijke aanmeld-, beheer- en serverfouten nog binnenkomen.
Ook zoektijd telt: data die wel is opgeslagen maar niet tijdig vindbaar is, helpt nauwelijks bij een incident. Zo blijven capaciteit, kosten en bruikbaarheid in evenwicht.