Aufbewahrung (Retention)

Incident Management bewahrt verschiedene Teile der Historie eines Incidents unterschiedlich lange auf. Kurz gesagt: Die täglichen Aggregate pro Source bleiben dauerhaft, ein Incident behält seine vollen Details ein Jahr lang und lebt danach ein weiteres Jahr als Tagesaggregat weiter, und das rohe, potenziell sensible Material dahinter verschwindet früher als beides.

Warum der Roh-Payload genullt wird, nicht der Alert

rawPayload ist der exakte, unveränderte Body, den deine Source gesendet hat. Der Webhook eines Anbieters kann API-Keys oder andere Geheimnisse enthalten, die dessen Betreiber hineingelegt hat. Das ist nichts, das auf ewig aufbewahrt werden sollte, nur weil der daraus entstandene Alert noch relevant ist. mappedFields ist die bereits normalisierte, sichere Sicht, auf die derselbe Payload abgebildet wird (Titel, Severity, Host usw.). Sie ist getrennt von rawPayload und überlebt es; Incident abrufen liefert immer mappedFields, nie rawPayload, unabhängig vom Alter.

Warum Aggregate die Zeilen überleben, aus denen sie berechnet werden

Die täglichen Zähler einer Source (im Analytics-Tab sichtbar) werden unbegrenzt aufbewahrt, genau damit das Löschen der zugrunde liegenden gelösten Alert-Zeilen nach 90 Tagen nicht auch deine längerfristige Historie darüber löscht, wie sich eine Source oder ein Team entwickelt. Den einzelnen Alert verlierst du, sobald er verfällt; die Form des Trends behältst du.

Warum Incidents 12 Monate im Detail und 24 Monate in ihrer Form bleiben

Derselbe Gedanke, auf Incidents angewendet, in zwei Stufen. Zwölf Monate lang bleibt ein Incident vollständig erhalten: seine Timeline, seine Zuweisungen und die Alerts, aus denen er entstanden ist. Ein Quartalsrückblick, ein Jahresbericht oder ein Audit findet damit den echten Vorgang und nicht nur eine Zusammenfassung davon. Das ist doppelt so lang wie das Halbjahresfenster, das die meisten Incident-Werkzeuge standardmäßig öffnen.

Nach zwölf Monaten ändert sich die Frage, die tatsächlich gestellt wird: nicht mehr „was ist in diesem Incident passiert", sondern „wie sah das letzte Jahr aus". Diese Frage beantwortet eine Zeile pro Tag, Team und Severity mit der Menge der Incidents, der Zeit bis zur Bestätigung und der Zeit bis zur Lösung. Diese Zeilen werden jede Nacht geschrieben, bevor irgendetwas gelöscht wird, und gelöscht wird nie etwas, das sie nicht bereits festgehalten haben. Sie bleiben 24 Monate erhalten, damit ein Jahresvergleich immer beide Jahre enthält.

Zwei Folgen, die man kennen sollte. Ein Incident, der älter als zwölf Monate ist, verschwindet aus der Incident-Liste und aus der API, auch ein Incident, der nie gelöst wurde: Die Frist ist eine Uhr, kein Statusmodell. Und aus dem Aggregat lassen sich keine Perzentile mehr berechnen, nur Summen und Mittelwerte. Ein Bericht über einen Zeitraum jenseits der zwölf Monate zeigt daher die durchschnittliche Zeit bis zur Bestätigung und bis zur Lösung statt eines p95.