Ротация записей журналов событий и дампов

Чтобы не допустить полного заполнения жесткого диска генерируемыми файлами журналов системных событий, системными журналами и файлов дампов, файлы журналов и дампов автоматически ротируются по достижении максимально разрешенного размера файлов или по истечении максимального срока их хранения. Как только объем файлов превысит указанное значение, самые старые файлы будут автоматически удалены.

В разделе диска /var на устройстве Kaspersky NGFW хранятся следующие типы системных событий:

• Файл сетевого дампа traffic_dump.pcap.
• Файлы дампов ядра.
• Файлы локальных системных событий.
• Файлы системных журналов.
• Файлы событий безопасности, если настроено локальное хранение.
• Файлы дампов трафика при срабатывании сигнатур IDPS.

Для разных типов файлов ротация работает по-разному:

• Для файла сетевого дампа ротация не требуется, поскольку события записываются в один перезаписываемый файл.
• Для файлов дампов ядра ротация происходит по исчерпании выделенного под них объема в разделе /var.
• Для файлов системных журналов и локальных системных событий ротация настраивается с помощью параметра "SystemMaxUse=" в journald.conf.
• Для файлов событий безопасности ротация происходит либо по достижении размера файла в 100 МБ, либо каждый час, в зависимости от того, что наступит раньше.
• Для файлов дампов трафика при срабатывании сигнатур IDPS ротация происходит по исчерпании выделенного под них объема в разделе /var.

Под каждый тип файлов на диске выделяется определенный максимально допустимый объем (см. таблицу ниже).

Максимальный допустимый размер файлов

* – проценты рассчитываются от общего лимита раздела /var, выделенного под файлы дампов, журналов и событий.

Вы можете узнать размер раздела /var, выделенный под прочие данные, и оставшийся размер раздела /var, выделенный под файлы журналов и файлов дампов, выполнив команду du в командной строке на устройстве Kaspersky NGFW.