Analityk bezpieczeństwa przegląda alerty w systemie SIEM dotyczące potencjalnie złośliwego ruchu sieciowego pochodzącego z laptopa służbowego pracownika. Analityk bezpieczeństwa ustalił, że do kontynuowania dochodzenia niezbędne są dodatkowe dane dotyczące pliku wykonywalnego działającego na komputerze. Które z poniższych dzienników powinien analityk wykorzystać jako źródło danych?

Poprawna odpowiedź to Endpoint. Dzienniki punktów końcowych (Endpoint logs) zawierają szczegółowe informacje o aktywności na konkretnym urządzeniu, takie jak uruchomione procesy, dostęp do plików, połączenia sieciowe inicjowane z urządzenia oraz inne zdarzenia systemowe. W tym przypadku, aby uzyskać dane dotyczące pliku wykonywalnego działającego na laptopie, dzienniki punktów końcowych są najbardziej odpowiednim źródłem. Dzienniki aplikacji (Application logs) koncentrują się na działaniu konkretnych aplikacji, a nie na ogólnej aktywności systemu operacyjnego. Dzienniki IPS/IDS (Intrusion Prevention/Detection System) skupiają się na wykrywaniu i zapobieganiu intruzjom w sieci, a nie na szczegółach dotyczących plików wykonywalnych na pojedynczym hoście. Dzienniki sieciowe (Network logs) dostarczają informacji o ruchu sieciowym, ale nie o tym, co dzieje się wewnątrz urządzenia na poziomie procesów i plików.