Änderungen, die sich auf die Ereigniserfassung auswirken

Ereignisse gelangen über den Ereigniserfassungsservice ecs-ec-ingress in QRadar. Ab QRadar V7.3.1 wird der Dienst getrennt von anderen QRadar Diensten verwaltet. Um Unterbrechungen bei der Erfassung von Ereignisdaten zu minimieren, wird der Service nicht automatisch erneut gestartet, wenn der hostcontext-Service erneut gestartet wird.

In folgenden Situationen kann es jedoch zu einer Unterbrechung der Ereigniserfassung kommen:
  • Bei einem Neustart einer Appliance, auf der Ereignisse erfasst werden
  • Beim Hinzufügen eines verwalteten HA-Hosts
  • Bei einem HA-Failover
  • Wiederherstellen einer Konfigurationssicherung
  • Verbindung zu einer ausgelagerten Quelle hinzufügen oder entfernen
  • Bei der Überschreitung des maximalen Schwellenwerts für die Plattenbelegung einer Partition

Wenn Sie nach der Wiederherstellung einer Konfigurationssicherung Änderungen implementieren, können Sie den Neustart des Ereigniserfassungsservice sofort ausführen oder auf einen geeigneteren Zeitpunkt verlegen. Wenn Sie auswählen, dass der Service später erneut gestartet werden soll, implementiert QRadar alle Änderungen, die nicht vom Ereigniserfassungsservice abhängig sind, und fährt mit der Erfassung von Ereignissen fort, während die anderen Services erneut gestartet werden. Im Implementierungsbanner werden weiterhin nicht implementierte Änderungen angezeigt und dieEvent collection service must be restartedwird angezeigt, wenn Sie die Details anzeigen.