Bepaal wat normaal binnenkomt
We inventariseren logbronnen, verzendritme en gebruiksmomenten. Een drukke server heeft een ander patroon dan een apparaat dat zelden gebeurtenissen vastlegt. De organisatie benoemt belangrijke bronnen waarvoor een langere blinde periode niet acceptabel is.