Для установки и функционирования сервера безопасности в системе должен быть установлен сервер СУБД. Чтобы обеспечить производительность и необходимое время хранения накопленных данных, предварительно следует оценить размер будущей базы данных и нужный объем дискового пространства на компьютере сервера СУБД. Исходя из результатов оценки принимается решение о выборе редакции СУБД (свободно распространяемые редакции имеют ограничение на размер базы данных) и аппаратной конфигурации компьютера.
Основные критерии для оценки:
- Поток событий — количество регистрируемых событий в течение определенного периода времени. Базовое значение — поток событий в секунду (Events Per Second, EPS). Суммируются события, регистрируемые в штатных журналах ОС и в журнале Secret Net. Нужно учитывать, что на поток событий существенно влияет роль компьютера в системе (сервер, рабочая станция), а также заданные параметры функционирования и регистрации в подсистемах.
- Размер записей о событиях — объем сохраняемой информации о событиях в записях журналов. Зависит от заполнения полей в записях различными данными: описания событий, сведения об источниках и объектах, другие данные. Размер записи о событии может варьироваться в широких пределах, поэтому целесообразно оценивать среднее значение.
- Срок хранения журналов — определяет время хранения журналов в базе данных и в архивах. Журналы должны быть доступны для оперативного получения сведений об инцидентах и нарушениях политики безопасности, для проведения аудита и определения потенциальных угроз. Срок хранения журналов должен быть достаточным, чтобы осуществлять ретроспективный анализ состояния системы.
Примечание.
Для обеспечения работоспособности сервера СУБД и минимизации издержек на поддержку инфраструктуры необходимо регулярно выполнять архивацию журналов. По умолчанию архивы сохраняются в подкаталоге \Archive каталога установки сервера безопасности. При необходимости архив можно загрузить в базу данных для анализа содержимого хранящихся в нем журналов.
Ниже рассматривается пример расчета для типовой АС класса защищенности 1Г, состоящей из одного сервера безопасности и 100 клиентских компьютеров. Для сервера безопасности используется компьютер под управлением ОС Windows Server 2012, для клиентов — ОС Windows 8.
Secret Net - Оценка размера БД для сервера безопасности
Secret Net - Оценка размера БД для сервера безопасности
1 Указан размер таблиц, содержащих журналы событий. Общий объем базы данных зависит также от размера журнала транзакций и от применяемых методов по оптимизации/сжатию базы.
2 При использовании СУБД MS SQL Express 2012 (в данной редакции действует ограничение на размер базы в 10 ГБ) следует уменьшить число источников данных. Для этого можно сократить количество подчиненных компьютеров до 10 либо в параметрах передачи локальных журналов отключить сбор штатных журналов ОС.
3 С учетом сжатия архива с коэффициентом 40:1.
Внимание!
Чтобы не увеличивался общий объем базы и сохранялась производительность, регулярно выполняйте операции по архивированию логов СУБД и оптимизации структуры базы для удаления пустых страниц и дефрагментации записей в базе. В случае переполнения базы (при использовании свободно распространяемых СУБД, имеющих ограничения по размеру базы) необходимо выполнить действия по очистке базы данных, которые приведены в документе с комментариями к выпущенной версии (Release Notes).