Полученные от управляемых устройств события по умолчанию удаляются вместе с объектом устройства на Сервере администрирования.

В динамическом режиме работы Агента администрирования в среде Virtual Desktop Infrastructure объект управляемого устройства удаляется при выключении виртуальной машины. Вы можете временно сохранить события после удаления объекта устройства. Для этого в свойствах Сервера администрирования перейдите в раздел Хранилище событий, выберите Хранить события после удаления устройств и укажите желаемое количество дней хранения событий.

В стандартном режиме работы Агента администрирования объект управляемого устройства удаляется по истечении периода неактивности. Проверьте и настройте период удаления неактивных объектов управляемых устройств:

• в группе Нераспределенные устройства;
• в группе Управляемые устройства и вложенных в нее группах.

Обратите особое внимание на параметры наследования для вложенных групп: проверьте и установите значения для всех вложенных групп или используйте опцию Обеспечить принудительное наследование для дочерних групп в параметрах родительской группы.

Вы можете изменить установленный лимит на максимальное количество событий, хранящихся в базе данных, в параметрах Сервера администрирования.

При изменении лимита учитывайте, что:

• MS SQL в редакции Express поддерживает БД размером до 10 ГБ. Превышение размера в 10 ГБ может привести к сбоям в работе Сервера администрирования. Для снятия ограничения по размеру БД вы можете перейти на одну из коммерческих редакций MS SQL по инструкции.
• На сервере СУБД любого типа должно быть достаточное количество дискового пространства.
• Выбор используемой СУБД должен соответствовать рекомендациям и ограничениям.

Вы можете дополнительно ознакомиться с общими рекомендациями по расчету характеристик СУБД.

Если отсутствуют события только определенного типа, они могли быть внесены в список блокируемых. Сервер администрирования выявляет и блокирует часто поступающие на него одинаковые события, чтобы избежать перегрузки БД и перезаписи событий других типов. При добавлении однотипных событий в список блокируемых Сервер администрирования автоматически создает событие «Обнаружено получение частого события».

Вы можете оптимизировать количество создаваемых однотипных событий. Воспользуйтесь документацией к приложению, которое создает однотипные события, чтобы узнать о возможных способах оптимизации.

Если вы используете электронную почту для получения уведомлений о событиях, мы рекомендуем настроить ограничение количества уведомлений, чтобы на почтовом сервере не переполнялась очередь на отправку.

Если количество событий превышает указанное максимальное значение на 10 000 записей, наиболее старые события автоматически удаляются, чтобы осталось только указанное максимальное количество событий. Автоматическое удаление сопровождается созданием событий предупреждения двух типов:

• «Превышено ограничение числа событий, началось удаление событий из базы данных» — в момент начала автоматического удаления.
• «Превышено ограничение числа событий, удалены события из базы данных» — в момент завершения автоматического удаления.

Хранение событий этих двух типов по умолчанию отключено в БД, при этом они хранятся в журнале Kaspersky Event Log. Для проверки частоты работы автоматического удаления событий вы можете использовать поиск по журналу:

1. Нажмите  + R на клавиатуре на устройстве Сервера администрирования, введите compmgmt.msc и нажмите OK.
2. Перейдите в раздел Просмотр событий → Журналы приложений и служб.
3. Выберите журнал Kaspersky Event Log.
4. Установите Фильтр текущего журнала и выберите события уровня Предупреждение.
5. Воспользуйтесь формой поиска по событиям, чтобы найти нужные события:
   1. Нажмите Найти.
   2. Введите в поле поиска фрагмент из полного текста события: «Количество событий, хранящихся в базе данных (<Количество событий>) превысило установленное ограничение (<Количество событий>) событий. Началось удаление событий, превышающих ограничение, из базы данных...».
   3. Нажмите Найти далее.

Если автоматическая очистка журнала запускается слишком часто, оптимизируйте хранение событий. Начните с анализа данных диаграммы Десять наиболее частых событий базы данных. Чтобы к ней перейти, в рабочей области узла Сервер администрирования выберите вкладку Статистика → Статус Сервера администрирования.

Особое внимание обратите на Количество событий, оставшееся до достижения предела базы данных и на типы событий, количество которых существенно превышает количество остальных типов событий на диаграмме.

Если события распределяются по типам равномерно, рассмотрите возможность увеличения лимита на хранение событий в СУБД.

Если события распределены неравномерно, вы можете отдельно отключить наиболее частые типы событий в каждой из политик соответствующих приложений:

1. Определите приложение, которое генерирует тип событий, который вы решили отключить:
   1. Постройте выборку Последние события.
   2. Воспользуйтесь полем Поиск по текстовым столбцам, чтобы найти нужные события в выборке. Для поиска используйте название типа события.
      Имя приложения будет указано в поле Приложение боковой панели.
2. Отключите или ограничьте хранение выбранного типа событий в политиках определенных ранее приложений или Сервера администрирования по инструкции. При необходимости вы можете отключить или ограничить хранение выбранного типа событий во всех политиках приложения.
3. Перейдите в свойства задач определенных ранее приложений и выберите Сохранять только результат выполнения задачи в параметрах уведомления.
   При регулярном запуске локальных задач приложений для защиты конечных точек также внесите изменения в эти задачи, либо запретите их запуск, отключив параметр Разрешить использование локальных задач.
4. Удалите вручную события выбранных типов из СУБД по инструкции.

Если период и полнота хранящихся типов событий недостаточны для ваших целей:

• Перейдите на одну из коммерческих редакций MS SQL для снятия ограничения объема БД в 10 ГБ.
• Сформируйте подходящие под ваши цели отчеты средствами KSC и настройте их регулярную отправку по электронной почте или автоматическое сохранение на файловом сервере по инструкции.
• Подключите KSC к решениям SIEM. SIEM-система обеспечит длительное хранение данных и получение дополнительных сведений о происходящих в вашей инфраструктуре действиях.

БД содержит не только события работы приложений, но и другие данные. Для оценки и оптимизации пространства СУБД соберите диагностическую информацию и создайте запрос в техническую поддержку «Лаборатории Касперского» по инструкции.