##ログの保存期間について
SIEMの提案や実装をしているとログの保存期間ってどうすればいいですかね？とご相談いただくことが結構あります。
基本的には組織のポリシーや要件に合わせて決めていただく形になると思いますが、私はよく下記の資料を参考にしています。
出典:企業における情報システムのログ管理に関する実態調査
https://www.ipa.go.jp/files/000052999.pdf
※現在上記はリンク切れになっているようですが、こちらで確認できます。
https://warp.da.ndl.go.jp/info:ndljp/pid/11440710/www.ipa.go.jp/files/000052999.pdf
感覚的には、多くの方が1年間を基準にされている気がします。
NISC,SANS,PCI DSSのガイドの影響が大きいのかもしれません。
Splunk(Cloud)で長期間ログを貯める場合だと、DDAS(データがすぐにサーチ可能になるストレージ)、DDAA(すぐにはサーチできないが安いアーカイブ用ストレージ)のどちらかを選ぶケースが多いです。
詳細はこちら：https://www.splunk.com/ja_jp/blog/platform/dynamic-data-data-retention-options-in-splunk-cloud.html
何かあった時の調査用に1年くらいはSIEMにログを貯めておく方が良さそうですね。