https://techcorner.max-it.de/index.php?action=history&feed=atom&title=ILM%2FISM_Hot%E2%80%93Warm%E2%80%93Cold_in_einer_Wazuh-UmgebungILM/ISM Hot–Warm–Cold in einer Wazuh-Umgebung - Versionsgeschichte2026-09-17T07:09:54ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=ILM/ISM_Hot%E2%80%93Warm%E2%80%93Cold_in_einer_Wazuh-Umgebung&diff=2920&oldid=previmported>TechCorner-Redaktion: Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)2026-09-15T00:00:00Z<p>Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)</p>
<p><b>Neue Seite</b></p><div>== Ausgangsfrage (Jonas) ==<br />
<br />
Jonas betreibt '''1× Manager, 1× Dashboard, 1× Indexer''' und möchte '''Index Lifecycle Management''' (Wazuh Indexer / OpenSearch ISM) so konfigurieren, dass Indizes durch '''hot → warm → cold''' laufen – inkl. '''Shrink in warm''' und “cold phase”-Aktionen.<br />
<br />
== Kernaussagen aus den Antworten ==<br />
<br />
=== 1) Hot–Warm–Cold braucht mindestens einen “Warm”-Node ===<br />
<br />
Mah Wen Qiang verweist auf die Wazuh-Doku und sagt sinngemäß:<br />
<br />
* Für '''Hot/Warm-Architektur''' brauchst du '''mehr als einen Indexer-Node''', weil du Rollen/Node-Attribute brauchst (z. B. ein Node “hot”, ein Node “warm”).<br />
* Mit nur einem Indexer ist “hot/warm” als Architektur nicht sinnvoll trennbar (alles läuft auf derselben Kiste).<br />
<br />
Jonas fragt nach: „Also muss ich mehrere Nodes hinzufügen, um Shrink/Phasen zu erreichen? Pro Phase ein Node?“<br />
<br />
Mah Wen Qiang:<br />
<br />
* '''Ja''': mindestens '''1 hot + 1 warm'''.<br />
* Beim '''cold node''' ist er unsicher.<br />
<br />
=== 2) Praktischer Weg im Dashboard: ISM Policy erstellen (Visual Editor) ===<br />
<br />
Parash Kafle gibt eine Schritt-für-Schritt-Anleitung über die Wazuh Dashboard UI:<br />
<br />
'''Pfad:'''<br />
<br />
* Wazuh Dashboard → '''Index Management''' → '''State Management Policies''' → '''Create policy''' → '''Visual editor'''<br />
<br />
'''Wichtige Bausteine:'''<br />
<br />
* '''Policy ID''' vergeben (z. B. “Retention Policy”)<br />
* '''ISM Template''' hinzufügen, z. B. Index Pattern: <code>wazuh-alerts-*</code><br />
<br />
'''States / Phasen:'''<br />
<br />
* '''Hot State'''<br />
<br />
Action: '''Read/Write''' (Index ist aktiv beschreibbar + lesbar)<br />
<br />
'''Warm State'''<br />
<br />
* Action: '''Shrink'''<br />
* Einstellung: “Number of new shards” (Ziel-Shard-Anzahl)<br />
* Hinweis: Warm setzt voraus, dass mindestens ein Indexer Node als '''warm''' fungiert.<br />
<br />
'''Cold State'''<br />
<br />
* Action: '''Close'''<br />
* Effekt: Index bleibt vorhanden, ist aber '''geschlossen''' und '''nicht lesbar''', bis er wieder geöffnet wird.<br />
<br />
'''Wichtiger Hinweis:'''<br />
<br />
* Die Policy wirkt '''automatisch nur auf neu erstellte Indizes'''.<br />
* Für '''bestehende''' Indizes muss man die Policy '''manuell zuweisen'''.<br />
<br />
== Was man aus dem Thread mitnehmen sollte ==<br />
<br />
* '''Ja, für echtes Hot/Warm brauchst du mehrere Indexer-Nodes''' (mindestens warm zusätzlich).<br />
* “Cold” wird hier nicht als eigener Storage-Tier umgesetzt, sondern über '''Index Close''' (Index bleibt liegen, aber ist “zu”).<br />
* Die “Shrink”-Funktion ist an Warm gekoppelt und erfordert entsprechend eine Cluster-Struktur, die das unterstützt.<br />
* Policies greifen “out of the box” '''nicht rückwirkend''', sondern primär '''ab Erstellung neuer Indizes'''.<br />
<br />
[https://wazuh.slack.com/archives/C0A933R8E/p1764835610507979 https://wazuh.slack.com/archives/C0A933R8E/p1764835610507979]<br />
<br />
== Quelle ==<br />
Dieser Artikel stammt aus dem [https://wazuh-blog.max-it.de/ilm-ism-hot-warm-cold-in-einer-wazuh-umgebung/ Wazuh-Blog von m.a.x. it] (veröffentlicht am 13. Februar 2026).<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Wazuh]]<br />
</div>imported>TechCorner-Redaktion