А сколько свободного места на сервере siem в /var?

можете напомнить команду для этого? уже начинает переклинивать

это столько занято как я понимаю

var находится в корне.  и вроде как места хватает.

df -h

спасибо. выводы команды уже имеются выше

попробуйте или /var вытащить на большой диск, или переменную вочдога, которая за место под кроликом отвечает, поправить. если нужен путь к файлу конфига вочдога/название пути к переменной - могу позже посмотреть

спасибо за предложение.)
вопрос уже решился)

Что помогло, если не секрет?

при удалении эластика(в соответствии с мануалом), удалялся кролик из очищаемого каталога со всеми вытекающими последствиями...
помогла тонкая очистка каталога в ручном режиме.

Подскажите, поставил siem версии 21 в конфигурации, где все компоненты крутятся на физически разных серверах, включая core, siem, хранилище и агент, по инструкции все поставил и активировал лицензию, однако в списке агентов я не увидел свой сервер с агентом, в руководстве по установке не описано как проверить и настроить связь между компонентами siem, куда дальше копать? Там была папка со скриптами автоматической  установки сертификатов, но они у меня отрабатывают с ошибками. Ах да, в моем конфиге siem и хранилище на линуксе

в общем случае я бы сказал, что надо посмотреть на параметр агента  RMQHost, указаывает ли он в сервер Core, но, я так понимаю, на 21 версии уже истекли сертификаты RMQ, раз к дистрибутиву прикладывают скрипты обновления сертификатов. поэтому надо посмотреть что там скрипты обновления сертификатов пишут в ошибках

Ну адреса я указал везде правильно при установке, в общем надо копать в сторону сертификатов?

это не точно.
21 версию я видел очень давно, собственно я просто предполагаю что проблема в них :)
точно могу сказать, что раньше вместе с дистрибутивом никаких скриптов установки сертификатов не было

на сервере где установлен агент выполните команду coreagentcfg get -p RMQHost

должна появится строка с IP адресом core

И проверьте запущена ли служба агента