Begrenzungen der Datenflusskapazität

Grenzwerte für Datenflusskapazität stellen sicher, dass der QFlow -Prozess in IBM QRadar nicht überlastet ist.

Wenn der QFlow -Prozess mehr Datenverkehr empfängt, als er verarbeiten kann, wird ein Überlaufdatensatz für jedes Protokoll erstellt, das im überschüssigen Datenverkehr beobachtet wird. Diese Datensätze können ohne großen Aufwand ermittelt werden, da die Quellen-IP-Adresse 127.0.0.4 und die IP-Zieladresse 127.0.0.5 lautet.

Beispiel: QRadar bestimmt, dass der Grenzwert für die Datenflusskapazität Ihres Datenflusscollectors 100.000 Datenflüsse beträgt. Bei Auslastungsspitzen erfasst die Appliance 120.000 Datenflüsse während eines Intervalls von einer Minute. Der Überschuss von 20.000 Datenflüssen wird nicht analysiert, sondern es wird stattdessen ein Überlaufsatz für jedes Protokoll erstellt, das in den 20.000 Datenflüssen angezeigt wird. Der Überlaufsatz enthält Byte- und Paketzähler, aber Informationen wie Quellen- oder Ziel-IP-Adressen, Ports und die Aufzeichnung von Nutzdaten werden nicht erfasst und gespeichert.

Begrenzungen der Datenflusskapazität

Die Kapazität von Datenflüssen basiert auf einer Reihe unterschiedlicher Faktoren:

Datenflussbegrenzung für die Implementierung: Diese Datenflussbegrenzung basiert auf der Summe aller Datenflusslizenzen in Ihrer Implementierung.
Datenflussbegrenzung für die Hardware: Bei der Datenflussbegrenzung für die Hardware handelt es sich um eine empfohlene Anzahl von Datenflüssen, die auf den verfügbaren CPUs und dem verfügbaren Speicher basieren.
Datenflussbegrenzungen für den Benutzer: Sie können die maximale Anzahl der Datenflüsse festlegen, die QRadar gleichzeitig verarbeiten soll.

Wenn eine Datenflussbegrenzung für den Benutzer festgelegt ist, hat diese Vorrang vor der Datenflussbegrenzung der Implementierung und der Begrenzung der Hardware.

Wenn keine Benutzerbegrenzung festgelegt ist, wird der Mindestwert der Hardwarebegrenzung oder der Implementierungsbegrenzung verwendet.

Hinweis: Um sicherzustellen, dass Sie den maximalen Nutzen aus Ihrer FPM-Lizenz (FPM = Datenflüsse pro Minute) erzielen, werden die Grenzwerte für die Datenflusskapazität nach der Aggregation durchgesetzt. Aktualisierungen vorhandener Datenflüsse innerhalb des Berichtsintervalls von einer Minute tragen nicht zur Lizenzbegrenzung Ihrer Datenflüsse pro Minute (Flows per Minute, FPM) bei.