Security Vision 5: события переезжают на медленные диски

Главное изменение — разделение хранения событий на горячее и холодное. Недавние события, к которым часто обращаются аналитики, остаются на быстрых дисках. Архивы можно отправлять на медленные носители. Сроки для каждого типа событий администратор настраивает сам: сколько данные лежат в горячем хранилище, когда переезжают в холодное и когда удаляются окончательно.

Это позволяет не забивать дорогое быстрое хранилище архивами и точнее соблюдать требования к хранению данных. Раньше администраторам приходилось вручную перекладывать архивы, теперь платформа делает это автоматически по заданным правилам.

Второе важное изменение — расширенный механизм Multitenancy. Он распространён на события и алерты: платформа учитывает организацию пользователя, и тот видит только данные своей организации. Это удобно, когда в одной среде сосуществуют разные отделы или клиенты. Пользователь не увидит чужие инциденты, а разграничение доступа стало строже.

Платформа научилась обслуживать базу данных по расписанию: запускает VACUUM, перестраивает индексы и задаёт параметры производительности. Структуру типов событий можно менять на ходу — добавлять и удалять свойства без реиндексации хранилища. В формах появилась подсветка синтаксиса, разрешено блокировать выгрузку исполняемых файлов через поля типа «Файл». Обновлён раздел лицензирования и развиты интерактивные виджеты: они получают доступ к внутренним ссылкам и группируют объекты по задаваемым статическим или изменяемым правилам.

Что делать уже сейчас: настроить для каждого типа событий сроки горячего и холодного хранения и момент окончательного удаления; использовать Multitenancy для разграничения событий и алертов между организациями и подразделениями; передать расписание VACUUM, перестроения индексов и параметров производительности платформе; при необходимости запретить загрузку исполняемых файлов через свойства типа «Файл» и отправлять архивы на медленные диски.