Хранить все логи вечно — не стратегия, а отложенная проблема: объём растёт, поиск замедляется, а ценность стар

Хранить все логи вечно — не стратегия, а отложенная проблема: объём растёт, поиск замедляется, а ценность старых записей падает почти до нуля.

Разумно разделить по назначению:
— записи обращений и отладка нужны недолго, их читают по горячим следам;
— ошибки полезны дольше: по ним видно, что проблема не новая и повторяется;
— события безопасности и действия администраторов хранятся дольше всего, именно они нужны, когда вопрос возникает сильно позже;
— технические измерения лучше держать не строками, а свёрнутыми показателями: они занимают в разы меньше и отвечают на вопрос «когда началось».

Сроки в конкретных числах зависят от требований к вашей отрасли — это вопрос к тому, кто отвечает за соответствие правилам, а не к системному администратору.

Главное, чтобы срок был назначен осознанно для каждого типа. Иначе он назначится сам: тем, что диск заполнился и кто-то в спешке удалил самое большое.