Data Lake ストレージの上限

Sophos Data Lake に保存できるデータの容量と保存期間には上限があります。

Sophos Data Lake は、XDR のお客様は最大 90日間、EDR のお客様は最大 30日間データを保存します。

デバイスが保存できるデータは次のように制限されます。

• 1台のデバイスの 1日あたりの上限。
• すべてのデバイスに対する 90日間の制限 (XDR)、またはすべてのデバイスに対する 30日間の制限 (EDR)。

クラウドアセットに対しては、Sophos Cloud Optix セクションの説明に従って上限が設定されます。

1台のデバイスの 1日あたりの上限

各デバイスは、1日あたり最大 2 GBのデータをアップロードすることに制限されています。

デバイスが上限に達すると、上限がリセットされるまでデータのアップロードは停止されます。この間、デバイスによって Data Lake にアップロードされなかったデータは、後で再送信されません。このようなデータは、デバイス上で直接クエリすることしかできません。

Windows デバイスの場合、現地時間の午前 0時に上限がリセットされます。

Linux デバイスの場合、XDR エージェントの起動後 24時間ごとに、上限がリセットされます。

脅威に関する警告など、デバイスとソフォス間のその他の通信は、すべて通常どおり続行されます。

デバイスが予想以上に多くのデータをアップロードしている場合は、どのクエリによって最も多くのデータが生成されているかを確認できます。この情報を使用して、データのアップロード状況を調査できます。詳細は、1日あたりの上限に達した際のトラブルシューティングを参照してください。

すべてのデバイスの 90 日間または 30 日間の上限

Data Lake は、XDR の場合は最大 90日間、EDR の場合は最大 30日間データを保存します。その期間に許可されるストレージの合計は、ライセンスの数に基づきます。

エンドポイントとサーバーには、別々のストレージプールがあります。

• エンドポイントプールには、1ライセンスあたり 20MB/日 (1ライセンスあたり 1.8GB/90日) の容量があります。
• サーバープールには、1ライセンスあたり 40MB/日 (1 XDR ライセンスあたり 3.6GB/90日) の容量があります。

デバイスがこれらの上限を超えた場合、Data Lake は 30日間全体のデータをクエリの対象にすることができなくなります。

デバイスの上限の仕組み

次の Sophos XDR がある場合を想定します。。

• 10件の Sophos XDR - User
• 10件の Sophos XDR - Server

90日の期間中、次の容量のデータを保存できます。

• 最大 18GB のエンドポイントデータ (10 ライセンス x 20MB x 90日)
• 最大 36GB のサーバーデータ (10 ライセンス x 40MB x 90日)

ストレージの上限を超えた場合は、データの容量が上限を下回るまで、最も古いデータが削除されます。

たとえば、エンドポイントからのアップロードが 1日あたり 40MB (1月の平均許容量の 2倍) の場合、45日後に既に上限に達してしまいます。この場合、最も古いデータの削除が開始され、90日間の履歴データ全体をクエリの対象にすることができなくなります。

ただし、デバイスのアップロードが、許可されている最大量より少ない場合でも、データは 90日間しか保存されません。

Sophos Cloud Optix のストレージの上限

クラウド環境から Data Lake にデータが送信されるように Sophos Cloud Optix を設定できます。その場合は、Sophos Cloud Optix のデータに対する、Data Lake ストレージの上限が適用されます。

Sophos Cloud Optix からのデータは、90日間、またはストレージの上限に達するまでのいずれか短い方の期間、Data Lake に保存されます。ストレージの上限は、ライセンスを取得したクラウドアセットの数によって決まります。

クラウドアセット 1つにつき、90日あたり 最大 1MB を保存できます。たとえば、100個のクラウドアセットがある場合、Sophos Cloud Optix から Data Lake に最大 9GB のデータを保存できます (100 ライセンス x 1MB x 90日)。ストレージの上限を超えた場合は、データの容量が上限を下回るまで最も古いデータが削除され、Data Lake は 90日間全体のデータをクエリの対象にすることができなくなります。

また、1日あたり Sophos Cloud Optix から Data Lake にアップロードできるデータ量にも上限があります。1日あたりのアップロードの上限は、ライセンスを取得したクラウドアセットの数によって決まります。クラウドアセット 1つにつき、1日あたり最大 1.25MB をアップロードできます。たとえば、100個のクラウドアセットがある場合、1日あたり最大 125 MBのデータをアップロードできます (100ライセンス x 1.25 MB)。

1日あたりのアップロードの上限に達すると、00:00 (UTC) に上限がリセットされるまで、Sophos Cloud Optix はデータのアップロードを停止します。その後 Sophos Cloud Optix は、データのアップロードを、停止した時点から自動的に再開します。