Нам нужно хранить события со всей инфраструктуры для расследований и для проверяющих

Коллеги, техническая задача. Нам нужно хранить события со всей инфраструктуры для расследований и для проверяющих, глубина хранения по требованиям приличная. Сейчас логи лежат где придётся, часть уже затёрлась. Полноценную аналитическую систему нам пока не потянуть ни по бюджету, ни по людям. Вопрос: можно ли начать просто с нормального сбора и хранения, и насколько это оправданный первый шаг? Инфраструктура около четырёхсот источников, бюджет на этот год уже закрыт. Требования по глубине хранения жёсткие, а места на дисках впритык.

Это абсолютно оправданный первый шаг, и многие через него и проходят: сначала класс LM для централизованного сбора, нормализации и долговременного хранения, а корреляция и правила добавляются позже. Главное, чтобы выбранное решение потом позволило нарастить аналитику без переезда. При расчёте объёма закладывайте запас минимум вдвое: реальный поток событий всегда оказывается больше расчётного, обычно из-за пары болтливых источников, о которых никто не подумал заранее. И заранее посмотрите на формат хранения: перенос архива между решениями это отдельная неприятная работа. По глубине хранения сразу заложите архивный уровень с дешёвым хранилищем, горячим держать всё не нужно.