Log chi tiết giúp điều tra nhưng ghi theo từng gói có thể tiêu CPU và đầy đĩa. Bộ đếm tổng hợp nên là dữ liệu chính trong đợt lưu lượng lớn.
Cách thực hiện
- Tách counter khỏi hành động log.
- Áp dụng hạn mức log và tiền tố nhận diện riêng.
- Kiểm tra xoay vòng cùng dung lượng trống khi chạy thử.
Kiểm tra kết quả
Sau giới hạn, vẫn phải biết luật nào chặn và xu hướng theo thời gian. Lấy mẫu đủ nhận diện mẫu lỗi mà không ghi dữ liệu không cần thiết.
Lưu ý khi áp dụng
Không tắt tất cả số liệu chỉ vì log đang quá nhiều.