Sentinel configura automáticamente los ajustes de Elasticsearch que se describen en la tabla siguiente. Puede personalizar los ajustes de Elasticsearch según sea necesario.
Para personalizar los ajustes por defecto:
En el almacenamiento tradicional: Abra el archivo /etc/opt/novell/sentinel/config/elasticsearch-index.properties y actualice las propiedades que se muestran en la tabla según sea necesario.
En el almacenamiento ampliable: En la página de inicio de SSDM, haga clic en Almacenamiento > Almacenamiento ampliable > Propiedades avanzadas > Elasticsearch.
Tabla 12-1 Propiedades de Elasticsearch
|
Propiedad |
Valor por defecto |
Notas |
|---|---|---|
|
elasticsearch.events.lucenefilter (opcional) |
|
Especifique un filtro para enviar solo eventos específicos a Elasticsearch para la indexación. Por ejemplo: si especifica el valor como sev: [3-5], solo se envían los eventos con un valor de gravedad entre 3 y 5 a Elasticsearch. |
|
index.fields |
id,dt,rv171,msg,ei,evt,xdastaxname,xdasoutcomename,sev,vul,rv32,rv39,rv159,dhn,dip,rv98,dp,fn,rv199,dun,tufname,rv84,rv158,shn,sip,rv76,sun,iufname,sp,iudep,rv198,rv62,st,tid,srcgeo,destgeo,obsgeo,rv145,estz,estzmonth,estzdiy,estzdim,estzdiw,estzhour,estzmin,rv24,tudep,pn,xdasclass,xdasid,xdasreg,xdasprov,iuident,tuident |
Indica los campos de eventos que desea que indexe Elasticsearch. |
|
es.num.shards |
5 |
Indica el número de shards principales por índice. Puede aumentar el valor por defecto si el tamaño de shard es superior a 50 GB. |
|
es.num.replicas |
1 |
Indica el número de shards de réplica que debe tener cada shard principal. Se recomienda el uso de un clúster de dos nodos como mínimo, teniendo en cuenta la conmutación por error y la alta disponibilidad. |