Dateisystempartitionen erreichen 95%, wenn die Einstellungen für den Datenaufbewahrungszeitraum zu hoch sind oder der verfügbare Speicher für die Rate, mit der IBM®
QRadar® Daten empfängt, nicht ausreicht. Wenn Sie die Speichereinstellungen für das Aufbewahrungsbucket neu konfigurieren, wirkt sich dies auf den Speicher in Ihrer gesamten QRadar -Bereitstellung aus.
Vorgehensweise
- Ermitteln und entfernen Sie ältere Debug-oder Patchdateien im Dateisystem / .
- Reduzieren Sie die Plattenbelegung im Dateisystem /store .
- Wählen Sie eine der folgenden Optionen aus:
- Entfernen Sie die ältesten Daten aus dem /store/ariel/events-Dateisystem.
- Verringern Sie die Datenaufbewahrungszeit. Passen Sie dazu die Standardspeichereinstellungen für die Aufbewahrungsbuckets an. Weitere Informationen finden Sie im Handbuch IBM
QRadar Administration Guide.
- Wenn die /store-Datei voll ist, prüfen Sie, welche Protokollquellen Sie für kürzere Zeiträume speichern können. Verwalten Sie die Protokollquellen mithilfe der Aufbewahrungsbuckets. Weitere Informationen finden Sie im Handbuch IBM
QRadar Administration Guide.
- Ziehen Sie eine externe Speicherlösung wie iSCSI oder Fibre Channel in Betracht. Weitere Informationen finden Sie im Offboard
Storage Guide.
- Wenn das Dateisystem /var/log eine Kapazität von 100% erreicht, wird QRadar nicht beendet. Es kann auch sein, dass Ihre Protokolldateien aufgrund anderer Fehler schneller als erwartet wachsen.