Un'architettura di riferimento per il logging è un modello per decidere quali eventi di sicurezza raccogliere, come strutturarli e come i difensori utilizzeranno i dati risultanti. Di solito copre fonti come endpoint, sistemi di identità, server, servizi cloud e dispositivi di rete, insieme a conservazione, sincronizzazione dell'ora, normalizzazione e controlli di accesso.
È importante perché i log sono utili solo quando possono supportare il rilevamento rapido, le indagini e la threat hunting. Negli attacchi, i difensori si affidano a una buona architettura di logging per individuare accessi sospetti, modifiche dei privilegi, movimento laterale, accessi ai dati ed eliminazione delle prove. In difesa, lo stesso modello aiuta i team a dare priorità alla telemetria di alto valore, a preservare l'integrità dei log e a rendere i record ricercabili durante un incidente. Senza questa pianificazione, le organizzazioni spesso raccolgono dati troppo pochi, troppi o del tipo sbagliato per ricostruire ciò che è accaduto.