У меня под 20-50 Мб/с с источника

чисто Eventlog?

что-то тут не то...

ТП поможет

попробуйте сопоставить размеры файлов журналов с трафиком

да, да.

к примеру...

Кстати, сон в руку. Подскажите, в журналах какой принцип ротатции для модулей?
Сейчас журналы выглядят так
wineventlog_{date}_{task_id}_{???}.log.{num}
вот уникальных task_id ровно по числу задач, и num больше 50 не встречается, но тех поддержка говорит, что это не настраивается…  
вопрос собсвенно что за суффикс после task_id и как примерно понять сколько их будет (а то уже 150гб логов и оно растат)

если говорить про количество и размер файлов одной джобы, то оно настраивается через справочник

Только их больше :( для каждой джобы

начать наверное стоит с терминологии, в названии журнала должен быть не  task_id, а job_id.
job_id - это уникальный id для каждого экземпляра запуска задачи. Суффикс после джобы это pid процесса подзадачи.

для одного экземпляра задачи правила ротации задаются как на скрине выше. Т.е. их не должно быть большее 50 штук по 100 мегабайт. 150 Гб может легко накопиться из-за большого количества разных экземпляров задач. Надо понять откуда столько логов: см ProgramData\Positive Technologies\MaxPatrol 10 Agent\log\modules\
дальше  журналы разбиты по модулям. Возможно достаточно будет поднастроить логирование какой-то конктреной задачи или устранить спамящую ошибку

Окей, хоть горшком назови, только печь не бросай.
В настройках logging_settings стоит 50 журналов, так вот 50 журналов у меня только только в рамках уникального названия файла, включащего pid задачи…

Это не ошибка, кстати, это просто дефолтные настройки, а дефолт это уровень DEBUG и журналы довольно обьемные получаются. Мне не жалко, мне просто не понятно сколько места на агенте надо для них выделить, что бы оно в ночи не сваливалось в режим осталось 25% места, еще 5% и SIEM перестанет собирать данные.

в дефолтном справочнике logging_settings всё логирование в INFO

Перепроверю, но я не трогал настройки по умочалнию, от прочтения документации отложилось что по дефолту там debug, возможно перепутал с настройками журнала для самого агента.

Но суть проблемы это не меняет: 50 файлов только для уникальной пары {job_id}_{pid}, что гхм, странно

При соблюдении аппаратных требований этот параметр является оптимальным, чтобы обеспечить хранение журналов и иметь возможность проводить расследование. одна полная сессия это максимум 5 Гб и чтобы их достичь задача может работать неделями. Если ротация происходит быстрее, то скорее всего ситуация связана с каким-то конкретным источником или модулем и вопрос можно будет решить поправив его логирование или устранив причину ошибки.

Добрался до рабочей станции. Да, по умолчанию стоит info.

Например, у меня есть 50 файлов
ModuleHost-WinEventLog.dll-{date}-b71d18a8-2240-46ba-aea7-8c978686e6a0_4844.log.{ID}
и 46 файлов
ModuleHost-WinEventLog.dll-{date}-b71d18a8-2240-46ba-aea7-8c978686e6a0_10784.log.{ID}

И вот вопрос, первые 50 сами сотрутся или надо в ручную чистить после каждого перезапуска агента?