. Os logs devem permitir a reconstrução da ação que gerou o alerta e idealmente devem permitir o seu uso como evidências em um processo de auditori...

. Os logs devem permitir a reconstrução da ação que gerou o alerta e idealmente devem permitir o seu uso como evidências em um processo de auditoria ou investigação. É recomendável que a empresa registre os logs e os armazene em um único servidor, pois isso dificulta que um invasor consiga acessá-los e adulterá-los. Monitoring é o processo através do qual é observada a utilização do sistema por usuários, gerando-se logs dessa utilização. Comportamentos considerados como atividades anormais para o perfil do usuário geram alertas e podem ocasionar mudanças na forma ou quantidade de logs gerados para estas ações.