Raccolta dei dati¶
Un'appliance configurata ma senza sorgenti non raccoglie nulla: questa parte descrive come far arrivare i dati. Le sorgenti sono di due tipi.
Gli Endpoint Client sono agenti installati su computer e server: raccolgono gli eventi del sistema operativo, l'inventario hardware e software, l'uso dei supporti rimovibili e le operazioni sui file. Sono la sorgente più ricca, e quella che si configura in modo più fine attraverso i profili.
Gli apparati di rete — firewall, switch, NAS — inviano invece i propri log via syslog, senza bisogno di installare nulla.
I servizi cloud, infine, non si raggiungono né con un agente né con syslog: Microsoft 365 e Google Workspace si interrogano tramite le loro API.