Еще как вариант тащить все логи в логгер, а уже что необходимо для корреляции отправлять в SIEM

Можно расширить вопрос, добавив сюда raw логи. Недавно пришли к выводу в группе по QRadar, что требуется только собирать конкретные поля. Если что-то собирается централизованно, то для суда вообще что-то типа fips потребуется. А в остальном по формату и объему raw - красота в глазах смотрящего и тоже поле для дебатов.

Особенно в части сбора событий из БД

Или кастомизируемого по количеству полей сислога, который надо еще в tcp пропихнуть

А у кого-нибудь были кейсы, когда логи с SIEM фигурировали в суде?

Немного утопии, но вообще конечно, собирать стоит всЁ и ограничиваться только вместимостью железа по хранению данных. И хранить по времени столько, сколько позволяет железо. А дальше уже по достаточным данным писать корреляции. Если говорить, о том что мы внедряем с нуля и без базы знаний, то проанализировав данные в хранилке мы поймем какие корреляции по этим данным мы можем написать. Будет большим плюсом если есть база знаний, особенно соотнесенная по типом сурса. Тогда проще.
Конечно, наверно уже пора пилить некий стандарт соурсов и правил корреляций под них)

Ага, а бюджет задаётся через ArtMoney

А нет, player.additem 0000000F 10000000

где-то выше был хороший ответ. Если бюджет + работоспособность siem\lm позволяют - собираем все, до чего дотянемся. Если нет - выбираем нужное и фильтруем лишнее.

Кстати там же можно фиксировать сумму ,правда не во всех играх проканывало

А просто мониторить powershell etc, религия не позволяет? Для всего остального есть специализированные инструменты

Чтобы зачем и что собираем всё? Потому что можем?

а можете подробнее отписать что именно подразумевается под «всем»?

Вот это отличный вопрос.

Чтобы не собирать запросы ps со всех хостов, разумнее включить логирование exchange ps

а почему бы не собирать со всех хостов? )

злоумышленник сначала на хост попадет

тем более пс мало кто пользуется даже среди админов

Да тут кейс именно админов отслеживать которые делают запросы ps в exchange

Для этого вам надо включить ауди  ps exchange и собирать детальную информаци