أداة الحاسبة
كيف تعمل هذه الحاسبة
استخدم الشرح لفهم طريقة الحساب والافتراضات وحدود النتيجة العملية قبل الاعتماد عليها.
المعادلة الأساسية
يُقدَّر الاستيعاب الخام اليومي بضرب EPS في متوسط حجم الحدث في ثواني اليوم، ثم تعديله بعامل حمل الفهرسة.
حيث:
- = الحجم اليومي بالغيغابايت
- = عدد الأحداث في الثانية
- = متوسط حجم الحدث المضغوط بالبايت
- = مضاعف الفهرسة والتخزين، حيث تعني 1.35 حملاً بنسبة 35%
- = تخزين الاحتفاظ بالتيرابايت
- = عدد أيام الاحتفاظ
مثال عملي — مؤسسة متوسطة الحجم
البيئة: 500 نقطة طرفية، 20 خادماً، 5 أجهزة شبكة، بيئتا سحابة
| مصدر السجل | EPS نموذجي | متوسط حجم الحدث |
|---|---|---|
| نقاط طرفية Windows (500) | 1,000 | 800 بايت |
| خوادم Linux (20) | 300 | 600 بايت |
| جدار الحماية / IDS (5) | 800 | 500 بايت |
| السحابة (AWS/Azure) | 400 | 700 بايت |
| الإجمالي | 2,500 | ~650 بايت |
مع و و و:
بسعر 342/شهر**.
معايير EPS حسب مصدر السجل
| نوع المصدر | EPS منخفض | EPS نموذجي | EPS مرتفع |
|---|---|---|---|
| Windows DC (لكل خادم) | 50 | 200 | 800 |
| محطة عمل Windows (لكل جهاز) | 1 | 3 | 10 |
| خادم Linux (لكل جهاز) | 5 | 15 | 100 |
| جدار حماية Palo Alto / Fortinet | 100 | 500 | 5,000 |
| مستشعر IDS/IPS | 200 | 1,000 | 10,000 |
| تطبيق ويب (لكل عقدة) | 10 | 100 | 2,000 |
| AWS CloudTrail (لكل حساب) | 5 | 50 | 500 |
اضرب EPS لكل جهاز في عدد الأجهزة في بيئتك. للتخطيط، أضف هامش 30–50% لأحداث الاستجابة للحوادث وإعداد مصادر سجل جديدة.
حمل الفهرسة
EPS الخام ليس ما يُخزّنه SIEM فعلياً. يُضيف المزوّدون بيانات وصفية واستخراج حقول وهياكل فهرسة:
| العامل | الأثر على حجم التخزين |
|---|---|
| استخراج الحقول (التحليل) | +20–40% |
| هياكل الفهرسة | +15–25% |
| الضغط | −40–70% (يعتمد على نوع السجل) |
| الحمل الصافي النموذجي | +10–50% |
يعمل Splunk عادةً بـ 1.5–2× الحجم الخام؛ Elastic مع الضغط أقرب إلى 1.0–1.3×. استخدم حقل الحمل لإدخال نسبة مزودك الملاحظة من نشر تجريبي.
طبقات التخزين
ليس كل بيانات الاحتفاظ بحاجة لنفس سرعة الوصول أو تكلفة التخزين:
| الطبقة | وقت الوصول | التكلفة النسبية | الاستخدام النموذجي |
|---|---|---|---|
| ساخن (SSD) | <1 ثانية | مرتفعة | 7–30 يوماً الأخيرة، التحقيق النشط |
| دافئ (أقراص دوارة) | ثوانٍ | متوسطة | 30–90 يوماً، الاستعلامات الروتينية |
| بارد (تخزين كائنات، S3) | دقائق | منخفضة جداً | 90–365+ يوماً، أرشيف الامتثال |
بنية متعددة الطبقات — ساخن للبيانات الحديثة وبارد للامتثال — يمكنها تقليل تكلفة التخزين بنسبة 60–80% مقارنة بالاحتفاظ بكل شيء على SSD. تحقق من دعم SIEM للتخزين متعدد الطبقات قبل التصميم عليه.
الأسئلة الشائعة
هل يجب استخدام EPS الذروة أم المتوسط؟
استخدم EPS المتوسط لتحديد حجم التخزين وEPS الذروة لتخطيط سعة خط الاستيعاب.
يتحدد التخزين بالحجم الإجمالي عبر الزمن — متوسط EPS × الثواني هو المقياس الصحيح. لكن خط الاستيعاب (ناقلات السجلات، المُجمِّعون، طوابير الرسائل) يجب أن يستوعب أحمال الذروة دون إسقاط الأحداث. تبلغ الذروة أثناء الاستجابة للحوادث والفحوصات وساعات العمل 5–10 أضعاف متوسط EPS. حدّد حجم الاستيعاب للذروة وحجم التخزين للمتوسط.
كيف أجد EPS الفعلي لديّ؟
إذا كان لديك SIEM أو نظام إدارة سجلات موجود، استعلم عن مقياس الأحداث في الثانية من لوحة المراقبة التشغيلية. معظم منصات SIEM تعرض EPS كمقياس تشغيلي مدمج.
للنشر الجديد، شغّل مصادر السجل في خط أنابيب نموذجي لأسبوع واحد — يُفضَّل أن يشمل يوم عمل وعطلة نهاية أسبوع وفترة نشاط مرتفع. اقسم إجمالي الأحداث على إجمالي الثواني للحصول على متوسط EPS. هذه العينة أكثر موثوقية بكثير من التقدير النظري وستكشف أيضاً متوسطات حجم الحدث من البيانات الحقيقية.
ما مدة الاحتفاظ التي يجب التخطيط لها؟
ابدأ بالمتطلبات القانونية والتنظيمية ومتطلبات العملاء والسياسات الداخلية. لا تفترض أن مدة احتفاظ واحدة تناسب كل منظمة أو كل نوع من السجلات.
مرتكزات مفيدة للتخطيط:
- PCI DSS يتطلب عادة الاحتفاظ بسجل التدقيق لمدة لا تقل عن 12 شهرًا، مع إتاحة آخر 3 أشهر على الأقل للتحليل الفوري.
- مبدأ تقليل مدة التخزين في GDPR لا يحدد مدة ثابتة لكل سجلات الأمن؛ يجب الاحتفاظ بالبيانات الشخصية فقط بقدر ما يلزم للغرض والأساس القانوني.
- SOC 2 وISO 27001 والسياسات الأمنية الداخلية تعتمد عادة على الضوابط والعقود وتقييم المخاطر وتوقعات المدققين.
من منظور الصيد التهديدي، تحتفظ فرق كثيرة ببيانات 30 إلى 90 يومًا قابلة للبحث وتنقل الأقدم إلى تخزين أرخص. أكد تصميم الاحتفاظ النهائي مع فرق الامتثال والقانون والأمن.
كيف يؤثر ضغط SIEM على تقدير التخزين؟
بيانات السجلات تُضغط بشكل جيد جداً — الصيغ النصية (syslog وJSON وCEF) تحقق عادةً ضغطاً بنسبة 70–85%. لكن مزودي SIEM يخزّنون أكثر من مجرد أحداث خام: حقول محللة وفهارس مقلوبة للبحث السريع وحالة الارتباط والبيانات الوصفية.
النتيجة الصافية تتباين بشكل ملحوظ:
- Splunk SmartStore: توقع 1.5–2× حجم الأحداث الخام بعد الفهرسة
- Elastic (ECS + ILM) مع تفعيل الضغط: 1.0–1.4× الخام
- Microsoft Sentinel (Log Analytics): ~1.2× الخام لمعظم أنواع السجلات
شغّل نشراً تجريبياً بمصدر سجل أو اثنين قبل الالتزام ببنية تخزين. أدوات تحديد الحجم من المزودين توفر تقديرات ابتدائية لكنها تميل للمحافظة.
