Ротация записей журналов событий и дампов

Чтобы не допустить полного заполнения жесткого диска генерируемыми файлами журналов системных событий и файлов дампов, файлы журналов и дампов автоматически ротируются по достижении максимально разрешенного размера файлов или по истечении максимального срока их хранения. Как только объем файлов превысит указанное значение, самые старые файлы будут автоматические удалены.

В разделе диска /var на устройстве Kaspersky NGFW хранятся следующие типы системных событий:

Файл сетевого дампа traffic_dump.pcap.
Файлы дампов ядра.
Файлы локальных системных событий.
Файлы событий безопасности, если настроено локальное хранение.
Файлы дампов трафика при срабатывании сигнатур IDPS.

Для разных типов файлов ротация работает по-разному:

Для файла сетевого дампа ротация не требуется, поскольку события записываются в один перезаписываемый файл.
Для файлов дампов ядра ротация происходит по достижении максимально допустимого размера части раздела /var, выделенного под них.
Для файлов локальных системных событий ротация настраивается с помощью параметра "SystemMaxUse=" в journald.conf.
Для файлов событий безопасности ротация происходит либо по достижении размера файла в 100 МБ, либо каждый час, в зависимости от того, что наступит раньше.
Для файлов дампов трафика при срабатывании сигнатур IDPS ротация происходит по достижении максимально допустимого размера части раздела /var, выделенного под них.

Под каждый тип файлов на диске выделяется определенный максимально допустимый объем (см. таблицу ниже).

Максимальный допустимый размер файлов

Тип файла	Максимально допустимый объем занимаемого места в процентах
Файл сетевого дампа	Размер файла определяется заданной длительностью записи файла в секундах или пакетах
Файлы дампов ядра	10%
Файлы локальных системных событий	40% (не учитываются, если включено хранение системных событий в RAM)
Постоянные файлы событий безопасности в директории `/var/security-events/`	15%
Временные файлы событий безопасности в директории `/var/security-events/failed-to-send`	15%
Файлы дампов трафика при срабатывании сигнатур IDPS в директории `/var/idps`	10%

Вы можете узнать размер раздела /var, выделенный под прочие данные, и оставшийся размер раздела /var, выделенный под файлы журналов и файлов дампов, выполнив команду du в bash на устройстве Kaspersky NGFW.

В начало