Cato数据湖指南

Cato数据湖包含Cato平台中由不同服务记录的数据，如网络、安全性、访问等。 事件信息等数据会实时添加到数据湖中，并根据客户合同规定的特定时间段保留。 Cato使用数据湖单位根据以下定义客户数据保留：

超过数据湖单位条款的数据将被丢弃。 例如，如果一小时内有超过2.5百万个事件或数据超过3个月。

作为Cato平台的一部分，账户会收到一个包含每小时2.5百万个事件速率限制和3个月保留期的数据湖单位。 客户可以选择购买额外的数据湖单位以提高每小时事件率和/或增加事件保留时间。

客户还可以使用不同的集成将数据转发到外部云存储和SIEM，且无需额外费用。

本文中的信息适用于自2024年1月1日开始的Cato账户。

事件实时保留，并可在Cato管理应用程序（CMA）的事件页面（主页 > 事件）中跟踪。

有关优化生成事件的更多信息，请参阅Cato事件日志存储和摄取的最佳实践

默认情况下，每个账户具有以下数据湖单位：

您可以选择购买额外的数据湖单位以增加每小时事件率和/或保留时间。

拥有稳定事件生成历史的客户可以检查CMA中的事件图表来查看产生了多少事件。 他们可以利用此图中的峰值来考虑其事件速率限制需求。

在下例中，峰值每小时超过 400,000 事件。 这可以由免费单一数据湖单位覆盖。

在下例中，每小时事件数超过 2.5 百万，每小时最高峰接近 3 百万。 这超过了1个数据湖单位默认事件速率限制的覆盖范围。 1 个额外单位可以覆盖这些存储需求，允许每小时生成最高至 5 百万事件。

请注意，通过将光标悬停在条形图上，可以检查每个条形的精确高度，如下图所示。

需注意的其他事项：

本节帮助您创建每小时峰值事件的初步粗略估计，以了解所需的数据湖单位数量。 我们建议您持续监控实际事件速率并根据需求进行调整。 每小时生成的实际事件取决于多种变量，例如流量模式和策略日志配置。 有关更多信息，请参见Cato 事件日志存储和摄取最佳实践。

事件生成与整个网络使用的总带宽和支持的SDP用户数量相关。 没有事件生成历史的客户可以通过总账户站点带宽之和和SDP用户数量来估算其可能的事件速率限制需求。 此外，为账户启用的服务也会对事件需求产生影响。 例如，如果启用了LAN防火墙，这会根据LAN流量和生成事件的流量量增加事件需求。

下面提供了表格以帮助估算每小时生成的峰值事件。 按照以下步骤从表格计算需求：

数据湖单元的度量单位是每小时生成的事件数量。 参与的数据显示量在选择或购买附加单元时不被使用，并且CMA不会报告该数据。

然而，如果客户计划将数据导出到外部存储或SIEM中，他们可能希望估算其影响。 客户可以通过假设一个数据湖单元（每小时2.5百万事件）大致相当于每月180GB的数据存储，来粗略估算涉及的数据量，如下表所示。

注意，这只是一个非常粗略的估计。 数据湖单元定义了每小时可生成的事件的最大数量。 显而易见，购买单元以应对偶尔的事件生成大峰值的客户，其外部存储需求将与购买相同数量单元以应对持续产生大量事件的客户大不相同。

下表显示了根据保留期的总GB的非常粗略的估计：

(*) 与Cato的某些合同可能包含与本文信息不同的条款