Unvollständige Berichtsergebnisse
Nach der Konfiguration und Ausführung von IBM® QRadar® -Berichten werden möglicherweise unerwartete Ergebnisse angezeigt. Es könnte den Anschein haben, dass in einem Bericht nicht alle erforderlichen Daten angezeigt werden.
Die Datenakkumulation für eine Suche beginnt erst, wenn die Suche einem geplanten Bericht hinzugefügt wird. In einem am Mittwoch erstellten Bericht beispielsweise, der jeden Montag ausgeführt werden soll, werden nicht die Daten für eine komplette Woche angezeigt. Im nächsten Bericht dagegen sind Daten für die gesamte Woche enthalten.
- Führen Sie die Suche erneut aus.
- Verwenden Sie für die erneute Suche die Registerkarte Netz, Aktivität oder Protokollaktivität. Sie können die Ergebnisse mit dem generierten Bericht vergleichen.
- Prüfen Sie die Benachrichtigung auf der Registerkarte Berichte.
- Auf der Registerkarte Berichte wird eine Benachrichtigung angezeigt, wenn Ihre Daten unvollständig sind.
- Führen Sie Ihren Bericht für Rohdaten aus dem ursprünglichen Zeitraum aus.
- Stellen Sie sicher, dass Sie alle Berichtsdaten erfassen, indem Sie Ihren Bericht für die Rohdaten aus dem ursprünglichen Zeitraum ausführen. Weitere Informationen finden Sie im IBM QRadar -Benutzerhandbuch.
Zu unvollständigen Berichten kommt es auch, wenn das System nicht in der Lage ist, Datenzusammenfassungen innerhalb eines Zeitraums von 60 Sekunden zu kumulieren. QRadar erstellt jede Minute Datenzusammenfassungen für jede aggregierte Suche. Bei zu umfangreichen Suchergebnissen und zu vielen eindeutigen Werten in den Suchvorgängen kann die Verarbeitung der Zusammenfassungen unter Umständen länger als 60 Sekunden dauern. Wenn die Akkumulation nicht innerhalb von 60 Sekunden abgeschlossen werden kann, wird das Akkumulationsintervall gelöscht. Möglicherweise fehlen in Zeitreihendiagramme und -berichte Spalten für den Zeitraum, in dem das Problem auftrat. Weitere Informationen finden Sie unter Akkumulator kann die Sichtdefinition für Aggregatdaten nicht lesen.