La arquitectura de seguridad es esencial en este escenario. Como dijo Rodrigo, debes priorizar. Especialmente cuando hay un presupuesto involucrado. Identifique los puntos de ingreso / egreso, identifique la infraestructura crítica que NECESITA monitorear sin cuestionar e intente implementar sensores alrededor de eso.
También es necesario tener en cuenta la retención de datos. En un mundo perfecto, registraríamos la captura de paquetes completa todo el día todos los días, pero en realidad, la mayoría de las redes generan demasiado tráfico para mantener la captura de paquetes completa durante un período de tiempo decente. Considere soluciones como NetFlow v5, que es mucho más fácil para el almacenamiento de datos y aún así proporciona los datos que necesita para correlacionar registros e investigar incidentes.
También, el asesino, identifica dónde tienes NAT para asegurarte de no perder la mitad de los registros en NAT. Por ejemplo, si tiene un sensor en uno de los lados de un equilibrador de carga que no está configurado con X-Forwarded-For o Enhanced Logging, las direcciones IP de origen se perderán y las investigaciones serán dolorosas.
Cuando se trata de acceder a los registros, personalmente creo que los analistas de seguridad de la red en particular deberían tener acceso a todos los registros disponibles para ayudar a correlacionar los registros de varias fuentes y acelerar las investigaciones. No necesariamente el acceso de administrador, pero el acceso de solo lectura sería suficiente. Por lo tanto, tendría registros de sus sensores, firewalls, syslogs de enrutadores / balanceadores de carga, etc. Si solo tiene acceso a los registros que se originan de los sensores, una vez más, la vida puede ser difícil.
El punto final es identificar todas las fuentes de registro, elegir un SIEM adecuado y centralizar / reenviar todos los registros al SIEM. Saltar a diferentes dispositivos para buscar una dirección IP específica entre X e Y fecha es tedioso y horriblemente lento cuando hay muchas soluciones SIEM poderosas por ahí.
Cuando se trata de eso, mencionaste que no querías crear una "manguera de fuego de troncos desechados", personalmente creo que lo anterior es la mejor manera de hacerlo. El rediseño de la infraestructura de red desde una perspectiva de seguridad requerirá mucho trabajo, pero al final, trabajará con lo que necesita y, con suerte, el ruido será mínimo.
Corrió con el tiempo un poco, disculpas.