A microsoft disponibiliza um guide bem interessante para quem quer desenvolver um planejamento de monitoramento de segurança e detecção de ataques. Outras fontes e estudos devem ser feitos, mas sem dúvida é um bom começo.

Batendo os olhos o que me chamou atenção foi o detalhamento sobre os ID de cada tipo de log, qual o propósito do log e como deve ser tratado, eu recomendo a leitura desse guide.

Guia de Planejamento de Monitoramento de Segurança e Detecção de Ataques
http://www.microsoft.com/brasil/security/
guidance/attackdetection/default.mspx