Chuvakin认为日志是最被高估的覆盖项，企业常说有日志，但事件响应时关键DHCP日志、出站流量日志或东西向流量日志往往缺失；他给出“凌晨3点测试”答案：日志留存一年是好的经验法则。