У нас работает зарубежная система мониторинга, поддержка по ней закончилась, обновлений

Добрый день. У нас работает зарубежная система мониторинга, поддержка по ней закончилась, обновлений нет, правила устарели. Стоит задача переезда на отечественное решение, и меня больше всего пугает потеря накопленного: правила корреляции, подключённые источники, история событий. Кто проходил такую миграцию, расскажите, как её планировать и что реально переносится, а что придётся делать заново. Источников подключено около двухсот, правил накопилось за несколько лет много. Сроки на переезд ограничены, работать без мониторинга мы не можем.

История событий обычно не переносится, её хранят отдельно на период, требуемый регламентом, а вот источники и логика правил переносятся, хотя и не механически. Правила придётся переписывать под синтаксис новой системы, поэтому смотрите, какая база правил идёт из коробки: у зрелых SIEM их уже больше тысячи, и это заметно сокращает работу. Планируйте параллельную работу двух систем хотя бы на пару месяцев и переносите источники группами, начиная с самых критичных. И составьте список правил, которые реально срабатывали за последний год, обычно переносить нужно втрое меньше, чем кажется. И не переключайте всё в один день: параллельная работа дороже, но спокойнее.