Retención, costo y niveles de almacenamiento

El costo de guardar registros depende de tres cosas: cuánto entra (gigabytes por día), cuánto tiempo se conserva (días) y en qué nivel vive cada día de datos. Muchos sistemas separan un nivel caliente (reciente, buscable al instante, el más caro), uno tibio y uno frío o de archivo (barato, pero hay que restaurar o esperar para consultarlo). Los nombres y las reglas cambian por producto; la idea es la misma: lo viejo se mueve a un nivel más barato y más lento.

Por eso recortar tiene tres palancas: entrar menos (filtrar o resumir antes de indexar), conservar menos o mover antes al nivel barato. Cada una tiene un precio en capacidad de investigar.

Un volumen alto no es un problema en sí: un servidor de autenticación puede pesar mucho y ser imprescindible. El problema es el volumen alto de datos que casi nunca se usan, que cuesta lo mismo que los valiosos. La tabla volumen_por_fuente suma el valor que el equipo de detección le da a cada fuente.

Para calcular cuánto ocupa una fuente en un nivel, se multiplica lo que entra por día por los días que dura en ese nivel. Con el costo por gigabyte y mes se llega al gasto. Aquí se calcula solo la ocupación: gigabytes por día por días en el nivel.

Cuánto tiempo guardar cada tipo de dato lo fija una política: la de la empresa, un contrato con un cliente o una norma que le aplique. El SOC no lo inventa; lo lee y lo cumple. Por eso se recorta primero lo que ninguna política exige y no usa nadie. En este laboratorio los plazos son de una política interna ficticia: no son los de ninguna norma real.

Hay una fuente que pesa mucho y vale poco, y otras que pesan menos y sirven a reglas de detección. La decisión de recorte debe nombrar qué se quita, por qué se puede y qué consulta se pierde, no solo cuántos gigabytes se ahorran.