Graylog的日志数据保留策略应该根据您的需求和资源来设置。以下是一些建议：
根据法规要求或公司政策，设置数据保留期限。例如，根据GDPR法规，您可能需要保留日志数据一定时间。
根据日志数据的重要性和价值来设置保留期限。对于重要的日志数据，可以将保留期限设置得更长一些。
考虑您的存储资源。设置过长的保留期限可能会导致存储资源的浪费，而设置过短可能会导致丢失有用的数据。
考虑索引的大小和性能。过长的保留期限可能会导致索引过大，影响查询性能。
根据日志数据的频率和量来设置保留期限。对于频繁产生的日志数据，可以设置较短的保留期限。
最终，保留策略应该根据您的具体情况来设置，需要平衡法规遵从、数据重要性、资源利用和性能等因素。可以在Graylog的配置中设置数据保留策略，灵活调整和管理。