Актуальность. Эффективность корреляции в SIEM определяется не только полнотой поступления событий, но и их пригодностью к сценарному анализу. Практические дефекты логирования, включая недологирование, нарушение временной валидности, потерю корреляционно-значимых атрибутов, снижают качество детектирования и повышают вероятность ложных срабатываний. Цель. Разработать сценарно- и риск-взвешенную методику количественной оценки дефицита логирования как меры пригодности потока событий к корреляции. Задачи. Сформировать сценарно-обоснованное множество контролируемых классов событий, задать их риск-веса, построить вероятностный опорный профиль интенсивности, ввести критерии временной валидности и структурной пригодности записи, а также получить итоговый показатель с диагностической интерпретацией причин ухудшения качества логирования. Методы. Использованы сценарный анализ детект-контента, риск-взвешенная агрегация, построение baseline по историческим данным, контроль временной валидности событий и оценка полноты минимально достаточных профилей корреляционно-значимых атрибутов. Результаты. Предложенная методика расширяет базовый показатель дефицита логирования за счёт использования вероятностного опорного профиля интенсивности, учёта перелогирования и потери корреляционно-значимых атрибутов, а также введения диагностической декомпозиции причин деградации качества логирования. Экспериментальная апробация показала, что в baseline-режиме при , что подтверждает отсутствие ложных срабатываний нового показателя на штатный поток; в сценарии дублирования при , что демонстрирует способность нового показателя выявлять перелогирование, невидимое для базового показателя; при нарушении временной согласованности все показатели достигают 1{,}000, что соответствует полной непригодности потока к корреляции. Выводы и значимость. Научная новизна состоит в формализации дефицита логирования как дефицита пригодности событийного потока к корреляции с учётом сценарной значимости классов событий и введении диагностической декомпозиции, позволяющей выделять доминирующий диагностический компонент деградации. Практическая значимость заключается в возможности количественно обосновывать приоритетные меры по совершенствованию источников, нормализации и правил корреляции в SIEM.
