Sentinel 會自動設定下表所說明的 Elasticsearch 設定。您可以視需要自訂 Elasticsearch 設定。
若要自訂預設設定：
對於傳統儲存： 開啟 /etc/opt/novell/sentinel/config/elasticsearch-index.properties 檔案，並視需要更新表格中所列的內容。
對於可擴充儲存： 在 SSDM 的首頁中，按一下「儲存」>「可擴充儲存」>「進階內容」>「Elasticsearch」。
表 12-1 Elasticsearch 內容
|
內容 |
預設值 |
附註 |
|---|---|---|
|
elasticsearch.events.lucenefilter (選用) |
|
指定僅將特定事件傳送至 Elasticsearch 進行索引編製的篩選器。例如：如果您將值指定為 sev:[3-5]，則只會將嚴重性值介於 3 和 5 之間的事件傳送至 Elasticsearch。 |
|
index.fields |
id,dt,rv171,msg,ei,evt,xdastaxname,xdasoutcomename,sev,vul,rv32,rv39,rv159,dhn,dip,rv98,dp,fn,rv199,dun,tufname,rv84,rv158,shn,sip,rv76,sun,iufname,sp,iudep,rv198,rv62,st,tid,srcgeo,destgeo,obsgeo,rv145,estz,estzmonth,estzdiy,estzdim,estzdiw,estzhour,estzmin,rv24,tudep,pn,xdasclass,xdasid,xdasreg,xdasprov,iuident,tuident |
指出您要讓 Elasticsearch 編製索引的事件欄位。 |
|
es.num.shards |
5 |
指出每個索引的主要分區數。 您可以在分區大小超過 50 GB 時增加此預設值。 |
|
es.num.replicas |
1 |
指出每個主要分區應有的複本分區數。 考量到容錯移轉和高可用性的需求，建議至少應為 2 個節點叢集。 |