Komprese

Některá detekční pravidla, zejména pokud nejsou optimálně nakonfigurována pro vaše potřeby, mohou generovat tisíce událostí za hodinu. Pokud tiket není včas prošetřen a uzavřen, objem nahromaděných dat může enormně narůst.

Aby bylo vyšetřování zvládnutelné, jsou starší tikety pravidelně „čištěny“. Komprese určitých datových položek udržuje úložiště databáze i konkrétní tikety v rozumné velikosti, takže LogMan.io Alerts jsou výrazně rychlejší a flexibilnější.

Povolit kompresi

Pro povolení konkrétního typu komprese musí být odpovídající sekce přítomna v konfiguraci LMIO Alerts v /Site/model.yaml.

/Site/model.yaml

services:
  lmio-alerts:
    asab:
      config:
        compression:event:
          enabled: yes

Hint

Pro release v26.12:

V případě clusterové konfigurace se společnou databází povolte kompresi pouze na jedné instanci.

Kontroly komprese se provádějí každých 12 hodin.

Komprese událostí

Komprese se pravidelně provádí pro přidružené události a záznamy na časové ose, což znamená, že některé události přiřazené k tiketu jsou odstraněny.

Toto jsou výchozí parametry komprese událostí, které lze změnit v /Site/model.yaml.

Výchozí konfigurace

[compression:event]
ticket_lifetime=1W # (1)
events=100 # (2)
trailing=10 # (3)
trigger=10 # (4)

1. Komprimují se pouze tikety starší než 1 týden
2. V tiketu ponechat 100 událostí
3. Ponechat 10 nejnovějších událostí, zbytek jsou nejstarší události tohoto tiketu
4. Data nekomprimovat, dokud se nenahromadí 10+ nadbytečných položek

Podporované postfixy stáří:

• Y: rok, resp. 365 dní
• M: měsíc, resp. 31 dní
• W: týden
• D: den
• h: hodina
• m: minuta

Například: „3h“ (tři hodiny), „5M“ (pět měsíců), „1y“ (jeden rok) a podobně.