Настройка сроков хранения и приоритетного удаления событий

Если в Kaspersky SIEM поступают события, для которых установлены разные требования к сроку хранения, нужно распределить их по отдельным пространствам хранилища. Для каждого пространства нужно задать фильтр, который определяет состав событий, и соответствующие условия хранения.

Если свободного места в хранилище недостаточно, события, для которых установлен короткий срок хранения, можно удалять раньше данных, которые необходимо хранить дольше. Для этого для пространства с такими событиями дополнительно нужно задать условие по заполнению диска.

Чтобы настроить сроки хранения и приоритетное удаление событий:

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Хранилища.
2. Создайте новое хранилище или откройте параметры существующего хранилища.
3. В блоке параметров Пространства нажмите на кнопку Добавить пространство и укажите следующие параметры для первого пространства:
   1. В поле Название укажите retention_180.
   2. В блоке параметров Варианты условий хранения в раскрывающемся списке выберите Дни и укажите 180.
   3. В блоке параметров Параметры фильтра выберите готовый фильтр или создайте фильтр, который выбирает события, для которых требуется хранение в течение 180 дней.
4. Нажмите на кнопку Добавить пространство и укажите следующие параметры для второго пространства:
   1. В поле Название укажите retention_90.
   2. В блоке параметров Варианты условий хранения в раскрывающемся списке выберите Дни и укажите 90.
   3. В блоке параметров Параметры фильтра выберите готовый фильтр или создайте фильтр, который выбирает события, для которых требуется хранение в течение 90 дней.
5. Нажмите на кнопку Добавить пространство и укажите следующие параметры для третьего пространства:
   1. В поле Название укажите netflow.
   2. В блоке параметров Варианты условий хранения в раскрывающемся списке выберите Дни и укажите 30.
   3. Нажмите на кнопку Добавить условие хранения.
   4. В раскрывающемся списке выберите Проценты и укажите 95.
   5. В блоке параметров Параметры фильтра выберите готовый фильтр или создайте фильтр с условием DeviceProduct=netflow.

      В результате для пространства netflow будут настроены два условия хранения: срок хранения событий – 30 дней и ограничение по заполнению диска – 95%.

6. Нажмите на кнопку Сохранить.
7. После создания и настройки пространств отправьте тестовые примеры событий из каждой группы и проверьте, что они попадают в соответствующие пространства.

Убедитесь, что выполняются следующие условия:

• События из пространства retention_180 удаляются после 180 дней хранения.
• События из пространства retention_90 удаляются после 90 дней хранения.
• События из пространства NetFlow удаляются после 30 дней хранения, а также при достижении ограничения по заполнению диска место освобождается за счет старых событий из пространства.

События распределяются по пространствам в соответствии с настроенными фильтрами и хранятся в течение заданного срока. При заполнении хранилища до установленного ограничения приоритетно удаляются старые события NetFlow, поэтому данные с более длительными сроками хранения сохраняются дольше.