침해자가 로컬 로그를 지워도 사건 기록을 보존하려는 구성은?

1. 1

   로그를 생성 직후 원격 수집기로 보내고 수집 저장소의 계정·삭제 권한과 보존 정책을 분리한다.

2. 2

   하루 한 번 로컬 로그를 원격 복사하되 전송 전에 공격자가 같은 디스크에서 삭제할 수 있게 둔다.

3. 3

   원격 수집기를 두지만 침해된 호스트 관리자에게 수집 저장소 삭제 권한도 함께 부여한다.

4. 4

   로컬 로그 파일 이름만 원격에 기록하고 사건 내용·시각·무결성 정보는 전송하지 않는다.