Niveles de retención caliente y fría

5 tareas · 37 min · Principiante

No todo registro necesita estar a un segundo de distancia durante un año. Los SIEM y los almacenes de registros suelen ofrecer niveles: uno caliente, rápido y caro, para lo reciente; y uno frío, más lento y barato, para lo que casi nunca se consulta pero debe existir. En Ribera Norte Logística lees la política de retención por fuente y la comparas con lo que de verdad pidieron las últimas investigaciones. El resultado dice dónde falta historial y dónde se paga de más.

0 de 5 · 0%

Objetivo de la sala

El nivel caliente está indexado: las consultas contestan en segundos y las reglas de detección corren sobre él. Es el más caro por gigabyte. El nivel frío (o de archivo) guarda los datos a menor costo, a cambio de que consultarlos sea más lento o exija restaurarlos primero; no suele servir para reglas en tiempo real.

La retención total de una fuente es la suma de los días en cada nivel. La política interna fija cuántos días en total debe existir el dato; cuántos van en caliente y cuántos en frío es una decisión de costo y de rapidez.

Responde para continuar

¿Qué diferencia práctica hay entre el nivel caliente y el frío?

El caliente guarda los datos cifrados y el frío sin cifrar En el frío se guardan solo resúmenes, y en el caliente los eventos completos El caliente se consulta al instante y cuesta más por gigabyte; el frío cuesta menos y es más lento de consultar

Ver pista de ayuda

La diferencia es de velocidad y de precio, no de contenido ni de protección.

Abre la política de retención. Para cada fuente, suma los días en caliente y los días en frío y compáralos con requisito_dias. Una sola fuente no llega.

Responde para continuar

¿Qué fuente conserva menos días en total de los que exige la política?

Ver pista de ayuda

Ejecuta `SELECT * FROM politica_de_retencion` y compara dias_caliente + dias_frio con requisito_dias.

Otra fuente cumple, pero con poco margen en el nivel más barato: su requisito es menor que la suma de sus dos niveles. Para saber cuánto exceso hay, primero hay que saber cuánto guarda en total.

Responde para continuar

¿Cuántos días conserva en total la fuente eventos-datos-s3, sumando caliente y frío? Escribe solo el número.

Ver pista de ayuda

Busca su fila en `SELECT * FROM politica_de_retencion` y suma las dos columnas de días.

La retención no se juzga en el vacío, sino contra las preguntas reales. La segunda tabla muestra cuántos días atrás tuvo que mirar cada investigación reciente. Una investigación que mira más atrás de los días en caliente de su fuente necesita el nivel frío; si además mira más atrás de la retención total, ya no puede contestarse.

Responde para continuar

¿Qué caso necesita el nivel frío para contestarse y todavía puede contestarse porque los datos existen?

Ver pista de ayuda

Ejecuta `SELECT * FROM consultas_de_investigacion` y compara dias_atras con los días de su fuente en la política.

La fuente que se queda corta necesita 180 días en total. Hoy guarda 30 en caliente. La política puede cumplirse alargando cualquiera de los dos niveles; como lo reciente se consulta mucho y lo antiguo poco, conviene alargar el que sale más barato.

Responde para continuar

¿Cómo se cumple el requisito de esa fuente sin pagar de más?

Alargar el nivel frío hasta completar el total exigido Reducir el requisito de la política, porque esa fuente casi nunca se consulta Conservar los 180 días en el nivel caliente, para que cualquier consulta sea inmediata

Ver pista de ayuda

Los días que faltan son antiguos; la tarifa del frío es la menor.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Dos niveles, dos promesas

2 Quién se queda corto Lab

3 Cuánto se conserva en total Lab

4 Qué investigación necesita el frío Lab

5 Cómo arreglar el hueco

Whoami-Labs Pro utiliza cookies