Вы это заколебетесь для всех подведов собирать при таких вводных.
Для начала напишите в НКЦКИ для получения методичек (там хорошо все разжевано), потом хотя бы на их шаблоне определиться, что для вас инцидент и что для его выявления собирать, потом хотя бы на их шаблонах с процессами реагирования определиться, а потом уже сиемы считать и прочие техсредства